远程主机上安装的 docker 版本低于 25.0.18-1。因此，该软件受到 ALAS2ECS-2026-148 公告中提及的多个漏洞影响。

    moby/go-archive 中的 tar 提取例程（Unpack、UnpackLayer、Untar/UntarUncompressed 和 ApplyLayer 辅助函数）未将文件系统操作限制在目的地目录。构建的存档可在预期目的地之外创建或覆盖文件。（CVE-2026-17106）

    解析包含大量小范围的 Range 标头时，FileServer（FS）、ServeContent 和 ServeFile（FS） 可消耗过量 CPU。

    这些函数现在忽略包含超过 200 个范围的 Range 标头。该限制由新的 httpservecontentmaxranges=GODEBUG 设置控制。设置 GODEBUG=httpservecontentmaxranges=0 会禁用该限制。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81858NOTE: 已修复：
    https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 （go1.27.2）注意：修复者：
    https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b （go1.26.9） （CVE-2026-78667）

    防火墙规则用于标记 VXLAN 数据报以进行加密，不加区分地匹配从内核发送的真实 VXLAN 数据报以及由用户进程发送的伪造数据报。从 Linux Swarm 节点的主机网络命名空间发送的任何数据包都使用满足以下条件的 overlay-network IPsec 参数进行加密：

    - UDP 数据报 - 目标端口为 Swarm 数据路径端口 - 数据报以加密覆盖网络 VNI 的 VXLAN 标头开头，节点上的任何正在运行的容器都连接到该网络 （CVE-2026-92542）

    Docker 引擎使用任意匹配 DNS 检查将注册主机名归类为不安全。
    loadInsecureRegistries（） 127.0.0.0默认将 /8 和 ：：1/128 作为不安全的 CIDR 注入。如果不安全的 CIDR 列表中存在单个地址，isCIDRMatch 会解析主机名的所有地址并返回 true。由于传输重拨主机名而不是 CIDR 匹配地址，因此由一个环回 IP 加上一个非环回攻击者 IP 组成的一组 DNS 应答会禁用证书验证，并为注册表连接启用 HTTP 回退。（CVE-2026-92543）

    BuildKit 可能会受到诱骗通过特殊文件 inode 执行文件操作，而实际文件是常规文件。特殊文件可能阻断操作，或在有根权限的工作线程上，允许对主机设备进行非预期访问。
    (CVE-2026-93320)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：docker (ALASECS-2026-148)

high Nessus 插件 ID 371825

版本 1.1