Amazon Linux 2：runfinch-finch (ALASDOCKER-2026-151)
high Nessus 插件 ID 371810
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
远程主机上安装的 runfinch-finch 版本低于 1.19.0-1。因此，该软件受到 ALAS2DOCKER-2026-151 公告中提及的多个漏洞影响。当客户端发送 Trailer 标头时，HTTP 服务器在内部使用这些标头值填充传递给服务器处理程序的 Request.Trailer 映射。由于 Request.Trailer 是一个映射，因此每个条目都会产生内存开销。对于 HTTP/2 服务器，恶意客户端可利用此漏洞，通过发送声明大量字段的尾部标头，导致服务器分配不成比例的内存量，同时绕过 Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制。此漏洞不适用于 HTTP/1 服务器，因为 HTTP/1 服务器不支持通过一个 TCP 连接对大量请求进行多路复用，并且其 Server.MaxHeaderBytes 的计算方式不同。Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制现在应用于尾部标头中声明的尾部字段。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 已修复：
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78659）
如果以 BuildKit 后台程序启动 --cdi-disabled ，当版本尝试使用 CDI 设备时，可导致后台程序错误。这可能是恶意的，也可能是无意的。（CVE-2026-93316）
控制注册表或 OCI 布局 blob 源的未经身份验证的攻击者可提供与声明的摘要不符的 blob 内容。生成的快照可能缓存在该摘要下，并由后续的受害者版本重用，从而破坏生成输入的完整性。（CVE-2026-93317）
恶意图像可公告包含不同层内容时另一图像的 DiffID。在受影响的版本中，BuildKit 可使用公布的 DiffID 派生缓存和快照标识，而无需验证其是否匹配实际层内容。
如果具有共享或持久缓存的 BuildKit 后台程序首先处理此类恶意图像，则使用受害者映像的后续版本可能会将攻击者控制的层内容挂载为基础映像。这可允许来自恶意图像的代码在受害者版本中运行，例如通过替换常见执行的路径（例如 /bin/sh）。攻击者控制的代码可读取装载到版本中的版本密码、访问其他版本资源、更改输出构件或挂起版本。
此问题同时影响常规快照器和惰性拉取快照器，如 stargz。（CVE-2026-93318）
恶意的外部 BuildKit 前端可发送使用内部 API 的请求，从而为数据争用创造条件，进而导致 BuildKit 后台程序出错。（CVE-2026-93319）
BuildKit 可能会受到诱骗通过特殊文件 inode 执行文件操作，而实际文件是常规文件。特殊文件可能阻断操作，或在有根权限的工作线程上，允许对主机设备进行非预期访问。
(CVE-2026-93320)
恶意前端可提交 LLB 定义，造成 buildkitdto 错误并终止，进而中断该后台程序上运行的所有构建。（CVE-2026-93321）
恶意前端可提交 LLB 定义，造成 buildkitdto 错误并终止，进而中断该后台程序上运行的所有构建。（CVE-2026-93322）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行 "yum update runfinch-finch" 或 "yum update --advisory ALAS2DOCKER-2026-151" 以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2DOCKER-2026-151.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-93316.html
https://explore.alas.aws.amazon.com/CVE-2026-93317.html
https://explore.alas.aws.amazon.com/CVE-2026-93318.html
https://explore.alas.aws.amazon.com/CVE-2026-93319.html
https://explore.alas.aws.amazon.com/CVE-2026-93320.html
插件详情
严重性: High
ID: 371810
文件名: al2_ALASDOCKER-2026-151.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/24
最近更新时间: 2026/10/24
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Low
分数: 3
百分位: 23.76
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 5.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2026-78659
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.5
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: High
Base Score: 7.5
Threat Score: 4.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-93318
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:runfinch-finch
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/10/5
参考资料信息
CVE: CVE-2026-78659, CVE-2026-93316, CVE-2026-93317, CVE-2026-93318, CVE-2026-93319, CVE-2026-93320, CVE-2026-93321, CVE-2026-93322
IAVB: 2026-B-0296-S