远程主机上安装的 amazon-ecr-credential-helper 版本低于 0.12.0-5。因此，该软件受到 ALAS2ECS-2026-146 公告中提及的多个漏洞影响。

    HTTP/2 服务器可针对相同的数据退还两次连接级别的流控制：这两次是在客户端重置流（为流的任何已发送但未读部分退还数据）时，另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接级流控制限制 （MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。HTTP/2 服务器现在会等到请求处理程序完成后，才退还重置流的连接层级流控制。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81743NOTE: 已修复：
    https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 （go1.27.2）注意：修复者：
    https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78663）

    解析包含大量小范围的 Range 标头时，FileServer（FS）、ServeContent 和 ServeFile（FS） 可消耗过量 CPU。

    这些函数现在忽略包含超过 200 个范围的 Range 标头。该限制由新的 httpservecontentmaxranges=GODEBUG 设置控制。设置 GODEBUG=httpservecontentmaxranges=0 会禁用该限制。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81858NOTE: 已修复：
    https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 （go1.27.2）注意：修复者：
    https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b （go1.26.9） （CVE-2026-78667）

    当 HTTP 服务器处理程序向 HTTP/1 CONNECT 请求发送 2xx 响应并在未劫持连接的情况下返回时，服务器会错误地继续读取和服务连接中的请求。
    由于对 HTTP/1 CONNECT 的 2xx 响应会将连接转换为隧道，因此服务器不应将该连接视为继续包含 HTTP。这种不当行为的影响主要限于潜在的请求走私，其中中间代理将连接上的数据视为隧道，而服务器则将其视为 HTTP。HTTP/1 服务器现在在响应 CONNECT 请求后始终会关闭连接，无论响应状态如何。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81744NOTE: 已修复：
    https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 （go1.27.2）注意：修复者：
    https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a （go1.26.9） （CVE-2026-94439）

    当 JavaScript 模板文本包含连续表达式时，输入新表达式时未正确重置上下文跟踪状态。我们现在确保模板文字表达式条目正确重置上下文变量，因此可以准确识别和转义所有后续的正则表达式文字。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81821NOTE: 已修复：
    https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 （go1.27.2）注意：修复者：
    https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 （go1.26.9） （CVE-2026-94448）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：amazon-ecr-credential-helper (ALASECS-2026-146)

critical Nessus 插件 ID 371838

版本 1.1