Amazon Linux 2023：docker (ALAS2023-2026-3266)
high Nessus 插件 ID 371886
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3266 公告中提及的多个漏洞影响。moby/go-archive 中的 tar 提取例程（Unpack、UnpackLayer、Untar/UntarUncompressed 和 ApplyLayer 辅助函数）未将文件系统操作限制在目的地目录。构建的存档可在预期目的地之外创建或覆盖文件。（CVE-2026-17106）
当客户端发送 Trailer 标头时，HTTP 服务器在内部使用这些标头值填充传递给服务器处理程序的 Request.Trailer 映射。由于 Request.Trailer 是一个映射，因此每个条目都会产生内存开销。对于 HTTP/2 服务器，恶意客户端可利用此漏洞，通过发送声明大量字段的尾部标头，导致服务器分配不成比例的内存量，同时绕过 Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制。此漏洞不适用于 HTTP/1 服务器，因为 HTTP/1 服务器不支持通过一个 TCP 连接对大量请求进行多路复用，并且其 Server.MaxHeaderBytes 的计算方式不同。Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制现在应用于尾部标头中声明的尾部字段。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 已修复：
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78659）
解析包含大量小范围的 Range 标头时，FileServer（FS）、ServeContent 和 ServeFile（FS） 可消耗过量 CPU。
这些函数现在忽略包含超过 200 个范围的 Range 标头。该限制由新的 httpservecontentmaxranges=GODEBUG 设置控制。设置 GODEBUG=httpservecontentmaxranges=0 会禁用该限制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81858NOTE: 已修复：
https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b （go1.26.9） （CVE-2026-78667）
防火墙规则用于标记 VXLAN 数据报以进行加密，不加区分地匹配从内核发送的真实 VXLAN 数据报以及由用户进程发送的伪造数据报。从 Linux Swarm 节点的主机网络命名空间发送的任何数据包都使用满足以下条件的 overlay-network IPsec 参数进行加密：
- UDP 数据报 - 目标端口为 Swarm 数据路径端口 - 数据报以加密覆盖网络 VNI 的 VXLAN 标头开头，节点上的任何正在运行的容器都连接到该网络 （CVE-2026-92542）
Docker 引擎使用任意匹配 DNS 检查将注册主机名归类为不安全。
loadInsecureRegistries（） 127.0.0.0默认将 /8 和 ：：1/128 作为不安全的 CIDR 注入。如果不安全的 CIDR 列表中存在单个地址，isCIDRMatch 会解析主机名的所有地址并返回 true。由于传输重拨主机名而不是 CIDR 匹配地址，因此由一个环回 IP 加上一个非环回攻击者 IP 组成的一组 DNS 应答会禁用证书验证，并为注册表连接启用 HTTP 回退。（CVE-2026-92543）
BuildKit 可能会受到诱骗通过特殊文件 inode 执行文件操作，而实际文件是常规文件。特殊文件可能阻断操作，或在有根权限的工作线程上，允许对主机设备进行非预期访问。
(CVE-2026-93320)
当部分开头的剩余限制小于 400 字节时，解析多部分表单可绕过内存限制，并将任意长行读入内存。现在可在此情况下正确强制执行多部分表单内存限制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81741NOTE: 已修复：
https://github.com/golang/go/commit/7c79b50a74b6d1aa4269b1827dda7d81f3717f9d （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/d7a7aa8e6781ddf8dce12adf60a813d957d4763e （go1.26.9） （CVE-2026-94440）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update docker --releasever 2023.12.20261026”或“dnf update --advisory ALAS2023-2026-3266 --releasever 2023.12.20261026”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3266.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-17106.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-78667.html
https://explore.alas.aws.amazon.com/CVE-2026-92542.html
https://explore.alas.aws.amazon.com/CVE-2026-92543.html
插件详情
严重性: High
ID: 371886
文件名: al2023_ALAS2023-2026-3266.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: High
分数: 7.7
百分位: 98.94
CVSS v2
风险因素: High
基本分数: 7.2
时间分数: 5.6
矢量: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-17106
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS 分数来源: CVE-2026-94440
CVSS v4
风险因素: High
Base Score: 7.6
Threat Score: 6.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-92543
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:docker-debuginfo, p-cpe:/a:amazon:linux:docker-debugsource, p-cpe:/a:amazon:linux:docker
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/8/18
参考资料信息
CVE: CVE-2026-17106, CVE-2026-78659, CVE-2026-78667, CVE-2026-92542, CVE-2026-92543, CVE-2026-93320, CVE-2026-94440
IAVB: 2026-B-0296-S