远程主机上安装的 containerd 版本低于 2.3.7-1。因此，该软件受到 ALAS2ECS-2026-145 公告中提及的多个漏洞影响。

    containerd 是一个开源容器运行时。在低于 、 、 2.3.62.2.9和 2.4.1的版本之前1.7.36，2.0.13特制的 OCI 索引图可在 PullImage 期间（容器启动之前）强制使用非常高的 CPU/内存使用率，从而造成长时间的 ContainerCreating 停止，并在较大的情况下造成节点/运行时不稳定。版本 、 2.0.13、 2.2.9和2.3.62.4.1修复1.7.36该问题。（CVE-2026-53493）

    以前，建立通道后，恶意对等机可发送构建的消息来锁死整个连接。现在，我们处理所有 RFC 4254 通道消息;明确处理全局请求。然后，将所有其他消息视为协议错误并断开连接，而非缓冲和阻断。（CVE-2026-56855）

    “github.com/moby/sys/user”程序包提供 Go 实用工具，用于解析和查找 Unix 样式的用户和群组数据库文件中的条目。之前 0.4.1 的版本在解析“/etc/passwd”- 或“/etc/group”样式文件时没有充分限制条目，这允许可提供特别构建的文件的攻击者造成过量内存消耗，并可能因内存不足情况终止受影响的进程。已在版本 0.4.1 中修补此问题。变通方案是避免解析受攻击者控制的用户或群组数据库文件，或者在解析前验证和限制不受信任的输入。
    (CVE-2026-61801)

    以前，在多路复用器的 chanList 中注册的通道在建立之前无法使用。恶意对等机能够淹没通道的 incomingRequests，使整个连接死锁。现在，我们添加了当通道可用时设置的原子建立状态。在此之前，handlePacket 会丢弃除打开确认/失败以外的每个数据包，不会阻断也不会中断连接。
    (CVE-2026-78662)

    HTTP/2 服务器可针对相同的数据退还两次连接级别的流控制：这两次是在客户端重置流（为流的任何已发送但未读部分退还数据）时，另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接级流控制限制 （MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。HTTP/2 服务器现在会等到请求处理程序完成后，才退还重置流的连接层级流控制。

    注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81743NOTE: 已修复：
    https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 （go1.27.2）注意：修复者：
    https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78663）

    OpenTelemetry-Go 是 OpenTelemetry 的 Go 实现。从版本 1.5.0 到 1.44.0， sdk/trace。NewTracerProvider 发出 TracerProvider 创建的内部信息级诊断事件，其 MarshalLog 实现以递归方式包含 span 处理器、导出器和客户端配置。
    调用 otel 的应用程序。因此，启用 OpenTelemetry 内部信息日志记录的 SetLogger 便可记录 OTLP gRPC 和 HTTP 回收器端点、OTLP HTTP 不安全标志，以及完整的 Zipkin 回收器 URL。有权访问这些日志的人员或系统可以了解内部收集器拓扑并恢复嵌入在 Zipkin URL 用户信息或查询字符串中的凭据或标记。默认 OpenTelemetry 记录器不会发出事件，且此路径不会记录 OTLP 身份验证标头、TLS 密钥材料或 SPAN 有效负载。此问题已在 1.45.0 版本中修复。(CVE-2026-81870)

    containerd 是一个开源容器运行时。从 2.1.0 until 2.2.7 和 2.3.4，containerd 的 CRI CreateContainer 检查点还原容易受到攻击，因为 CRIU 会从检查点数据还原进程安全状态，而不是强制执行目标 ContainerConfig。能够从特制检查点创建容器的攻击者可提供还原的凭据、功能、no_new_privs和 seccomp 状态。还原的进程可以根用户身份运行，且该进程具有完整功能，且不使用强制的 seccomp 筛选器，同时 CRI 状态会报告所请求的配置。不使用 CRI 检查点还原的系统不受影响。此问题已在 2.2.7 和 2.3.4 版本中得到修补。(CVE-2026-95837)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：containerd (ALASECS-2026-145)

medium Nessus 插件 ID 371879

版本 1.1