Amazon Linux 2：oci-add-hooks (ALASECS-2026-147)
critical Nessus 插件 ID 371870
语言：
简介
远程 Amazon Linux 2 主机缺少安全更新。描述
远程主机上安装的 oci-add-hooks 版本低于 0-0.12.20200504git325a340。因此，该软件受到 ALAS2ECS-2026-147 公告中提及的多个漏洞影响。HTTP/2 服务器可针对相同的数据退还两次连接级别的流控制：这两次是在客户端重置流（为流的任何已发送但未读部分退还数据）时，另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接级流控制限制 （MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。HTTP/2 服务器现在会等到请求处理程序完成后，才退还重置流的连接层级流控制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81743NOTE: 已修复：
https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78663）
解析包含大量小范围的 Range 标头时，FileServer（FS）、ServeContent 和 ServeFile（FS） 可消耗过量 CPU。
这些函数现在忽略包含超过 200 个范围的 Range 标头。该限制由新的 httpservecontentmaxranges=GODEBUG 设置控制。设置 GODEBUG=httpservecontentmaxranges=0 会禁用该限制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81858NOTE: 已修复：
https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b （go1.26.9） （CVE-2026-78667）
当 HTTP 服务器处理程序向 HTTP/1 CONNECT 请求发送 2xx 响应并在未劫持连接的情况下返回时，服务器会错误地继续读取和服务连接中的请求。
由于对 HTTP/1 CONNECT 的 2xx 响应会将连接转换为隧道，因此服务器不应将该连接视为继续包含 HTTP。这种不当行为的影响主要限于潜在的请求走私，其中中间代理将连接上的数据视为隧道，而服务器则将其视为 HTTP。HTTP/1 服务器现在在响应 CONNECT 请求后始终会关闭连接，无论响应状态如何。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81744NOTE: 已修复：
https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a （go1.26.9） （CVE-2026-94439）
当 JavaScript 模板文本包含连续表达式时，输入新表达式时未正确重置上下文跟踪状态。我们现在确保模板文字表达式条目正确重置上下文变量，因此可以准确识别和转义所有后续的正则表达式文字。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81821NOTE: 已修复：
https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 （go1.26.9） （CVE-2026-94448）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“yum update oci-add-hooks”或“yum update --advisory ALAS2ECS-2026-147”以更新系统。另见
https://alas.aws.amazon.com//AL2/ALAS2ECS-2026-147.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-78663.html
https://explore.alas.aws.amazon.com/CVE-2026-78667.html
插件详情
严重性: Critical
ID: 371870
文件名: al2_ALASECS-2026-147.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.7
百分位: 95.77
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS 分数来源: CVE-2026-78663
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 7.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:oci-add-hooks-debuginfo, p-cpe:/a:amazon:linux:oci-add-hooks
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/10/8
参考资料信息
CVE: CVE-2026-78663, CVE-2026-78667, CVE-2026-94439, CVE-2026-94448
IAVB: 2026-B-0296-S