AlmaLinux 9.6 [TuxCare] 安全更新：ignition / ignition-edge / ignition-grub / ignition-validate （ALMALINUX9.6：CLSA-2026：1791487723）

critical Nessus 插件 ID 365088

语言：

简介

AlmaLinux 主机缺少一个或多个安全更新。

描述

AlmaLinux 9.6 主机上存在安装的程序包，该程序包受到 TuxCare ALMALINUX9.6：CLSA-2026：1791487723公告中提及的漏洞的影响。

- gRPC-Go 是 gRPC 的 Go 语言实现。之前的版本存在 1.79.3 授权绕过漏洞，原因是对 HTTP/2“:p ath”伪标头的输入验证不正确。gRPC-Go 服务器的路由逻辑过于宽松，会接受其中 ':p ath' 遗漏强制性前置斜线的请求（例如，'Service/Method' 而非 '/Service/Method'）。当服务器成功将这些请求路由至正确的处理程序时，授权拦截器（包括官方“grpc/authz”程序包）会评估原始的、非规范的路径字符串。因此，使用规范路径（以“/”开头）定义的拒绝规则无法匹配传入请求，从而允许该请求在存在回退允许规则时绕过策略。这会影响使用基于路径的授权拦截器的 gRPC-Go 服务器，例如“google.golang.org/grpc/authz”中的官方 RBAC 实现或依赖于“info.FullMethod“或”grpc.Method（ctx）';具有安全策略的 AND 包含针对规范路径的特定拒绝规则，但默认允许其他请求（回退允许规则）。攻击者可利用此漏洞直接将带有畸形“:p ath”头的原始 HTTP/2 帧发送到 gRPC 服务器。版本 1.79.3 中的补丁可确保立即拒绝任何不以前置斜线开头的“:p ath”请求。Unimplemented“错误，从而阻止其接触到具有非规范路径字符串的授权拦截器或处理程序。尽管升级是最安全也是最推荐的途径，但用户仍可通过以下方法之一来缓解该漏洞：使用验证拦截器（建议的缓解措施）;基础设施层面的规范化;和/或策略强化。（CVE-2026-33186）

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。