Amazon Linux 2023：amazon-ecr-credential-helper (ALAS2023-2026-3271)
critical Nessus 插件 ID 371893
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3271 公告中提及的多个漏洞影响。当客户端发送 Trailer 标头时，HTTP 服务器在内部使用这些标头值填充传递给服务器处理程序的 Request.Trailer 映射。由于 Request.Trailer 是一个映射，因此每个条目都会产生内存开销。对于 HTTP/2 服务器，恶意客户端可利用此漏洞，通过发送声明大量字段的尾部标头，导致服务器分配不成比例的内存量，同时绕过 Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制。此漏洞不适用于 HTTP/1 服务器，因为 HTTP/1 服务器不支持通过一个 TCP 连接对大量请求进行多路复用，并且其 Server.MaxHeaderBytes 的计算方式不同。Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制现在应用于尾部标头中声明的尾部字段。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 已修复：
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78659）
HTTP/2 服务器可针对相同的数据退还两次连接级别的流控制：这两次是在客户端重置流（为流的任何已发送但未读部分退还数据）时，另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接级流控制限制 （MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。HTTP/2 服务器现在会等到请求处理程序完成后，才退还重置流的连接层级流控制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81743NOTE: 已修复：
https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78663）
解析包含大量小范围的 Range 标头时，FileServer（FS）、ServeContent 和 ServeFile（FS） 可消耗过量 CPU。
这些函数现在忽略包含超过 200 个范围的 Range 标头。该限制由新的 httpservecontentmaxranges=GODEBUG 设置控制。设置 GODEBUG=httpservecontentmaxranges=0 会禁用该限制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81858NOTE: 已修复：
https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b （go1.26.9） （CVE-2026-78667）
当 HTTP 服务器处理程序向 HTTP/1 CONNECT 请求发送 2xx 响应并在未劫持连接的情况下返回时，服务器会错误地继续读取和服务连接中的请求。
由于对 HTTP/1 CONNECT 的 2xx 响应会将连接转换为隧道，因此服务器不应将该连接视为继续包含 HTTP。这种不当行为的影响主要限于潜在的请求走私，其中中间代理将连接上的数据视为隧道，而服务器则将其视为 HTTP。HTTP/1 服务器现在在响应 CONNECT 请求后始终会关闭连接，无论响应状态如何。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81744NOTE: 已修复：
https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a （go1.26.9） （CVE-2026-94439）
当部分开头的剩余限制小于 400 字节时，解析多部分表单可绕过内存限制，并将任意长行读入内存。现在可在此情况下正确强制执行多部分表单内存限制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81741NOTE: 已修复：
https://github.com/golang/go/commit/7c79b50a74b6d1aa4269b1827dda7d81f3717f9d （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/d7a7aa8e6781ddf8dce12adf60a813d957d4763e （go1.26.9） （CVE-2026-94440）
当 JavaScript 模板文本包含连续表达式时，输入新表达式时未正确重置上下文跟踪状态。我们现在确保模板文字表达式条目正确重置上下文变量，因此可以准确识别和转义所有后续的正则表达式文字。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81821NOTE: 已修复：
https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 （go1.26.9） （CVE-2026-94448）
受信任的模板作者之前可能编写了一个有效的模板，其中使用 |yield|关键字可能不会被正确转义。我们现在确保转义有效的关键字使用，并且不转义非关键字使用。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81823NOTE: 已修复：
https://github.com/golang/go/commit/6e2cfab0a1c1683c52f9e09270627b0c4e6446e3 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/5d84f6f08caf63b5f1300930368756bd34955f4a （go1.26.9） （CVE-2026-97030）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update amazon-ecr-credential-helper --releasever 2023.12.20261026”或“dnf update --advisory ALAS2023-2026-3271 --releasever 2023.12.20261026”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3271.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-78663.html
https://explore.alas.aws.amazon.com/CVE-2026-78667.html
https://explore.alas.aws.amazon.com/CVE-2026-94439.html
https://explore.alas.aws.amazon.com/CVE-2026-94440.html
插件详情
严重性: Critical
ID: 371893
文件名: al2023_ALAS2023-2026-3271.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.7
百分位: 95.77
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS 分数来源: CVE-2026-78663
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 7.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:amazon-ecr-credential-helper
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/10/8
参考资料信息
CVE: CVE-2026-78659, CVE-2026-78663, CVE-2026-78667, CVE-2026-94439, CVE-2026-94440, CVE-2026-94448, CVE-2026-97030
IAVB: 2026-B-0296-S