Amazon Linux 2023：aspell、aspell-devel （ALAS2023-2026-3275）
low Nessus 插件 ID 371903
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3275 公告中提及的多个漏洞影响。在 Aspell 中发现一个缺陷。攻击者可通过诱使用户处理特制的字典文件，实现任意代码执行或造成拒绝服务 （DoS）。出现此问题的原因是，在只读字典加载程序中进行缓冲区容量检查时，发生整数计算错误，从而导致基于堆的缓冲区溢出。（CVE-2026-103658）
GNU Aspell prezip-bin 在 prog/prezip.c 的解压缩器中包含一个基于堆的缓冲区溢出漏洞。解压缩器未正确检查缓冲区空间，因此构建的压缩文件可对堆造成越界读取和写入操作。诱使用户使用 prezip-bin 处理恶意压缩文件的攻击者可触发内存损坏，从而导致进程崩溃。
此问题已在将在版本 0.60.8.3中发布的认可 15b188437f9e0192d4ac4472ad66a4e2f62a782f 中修复。（CVE-2026-75818）
GNU Aspell 在 readonly_ws.cpp 的 ReadOnlyDict：：load（） 中包含一个越界读取漏洞。加载二进制 .rws 字典文件时，它使用文件标头中的偏移字段作为堆缓冲区的字节索引，而不验证其边界。攻击者可通过诱使用户运行通过 、 或--dict-dir配置选项提供的--master构建字典文件 aspell 触发此漏洞，从而导致堆内存泄露或通过应用程序崩溃造成拒绝服务。
此问题已在将在版本 0.60.8.3中发布的认可 941953b25031bc9104e83f58e138a664b8dedc3f 中修复。（CVE-2026-75819）
GNU Aspell 在 modules/speller/default/writable.cpp 的 WritableDict：：add（） 函数中包含整数截断漏洞。加载个人单词表时，单词长度存储为单个字节，导致长度为 256 的倍数的单词被截断。这会导致堆损坏。攻击者可利用此漏洞，诱使用户使用包含此类单词的构建的个人单词表运行 aspell，从而导致拒绝服务。
此问题已在将在版本 0.60.8.3中发布的认可 782ce94e4dc71eaec4ee1bd945eb3b9c47c5387d 中修复。（CVE-2026-75820）
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update aspell --releasever 2023.12.20261026”或“/或”dnf update --advisory ALAS2023-2026-3275 --releasever 2023.12.20261026“以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3275.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-103658.html
https://explore.alas.aws.amazon.com/CVE-2026-75818.html
插件详情
严重性: Low
ID: 371903
文件名: al2023_ALAS2023-2026-3275.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 58.44
CVSS v2
风险因素: Medium
基本分数: 4.6
时间分数: 3.4
矢量: CVSS2#AV:L/AC:L/Au:N/C:P/I:P/A:P
CVSS 分数来源: CVE-2026-103658
CVSS v3
风险因素: Medium
基本分数: 5.9
时间分数: 5.2
矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Low
Base Score: 1.8
Threat Score: 0.2
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:L/AC:H/AT:N/PR:N/UI:A/VC:N/VI:N/VA:L/SC:N/SI:L/SA:N
CVSS 分数来源: CVE-2026-75820
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:aspell-debuginfo, p-cpe:/a:amazon:linux:aspell-debugsource, p-cpe:/a:amazon:linux:aspell-devel, p-cpe:/a:amazon:linux:aspell
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/10/6
参考资料信息
CVE: CVE-2026-103658, CVE-2026-75818, CVE-2026-75819, CVE-2026-75820