Amazon Linux 2023：containerd、containerd-stress (ALAS2023-2026-3273)
medium Nessus 插件 ID 371911
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3273 公告中提及的多个漏洞影响。containerd 是一个开源容器运行时。在低于 、 、 2.3.62.2.9和 2.4.1的版本之前1.7.36，2.0.13特制的 OCI 索引图可在 PullImage 期间（容器启动之前）强制使用非常高的 CPU/内存使用率，从而造成长时间的 ContainerCreating 停止，并在较大的情况下造成节点/运行时不稳定。版本 、 2.0.13、 2.2.9和2.3.62.4.1修复1.7.36该问题。（CVE-2026-53493）
以前，建立通道后，恶意对等机可发送构建的消息来锁死整个连接。现在，我们处理所有 RFC 4254 通道消息;明确处理全局请求。然后，将所有其他消息视为协议错误并断开连接，而非缓冲和阻断。（CVE-2026-56855）
“github.com/moby/sys/user”程序包提供 Go 实用工具，用于解析和查找 Unix 样式的用户和群组数据库文件中的条目。之前 0.4.1 的版本在解析“/etc/passwd”- 或“/etc/group”样式文件时没有充分限制条目，这允许可提供特别构建的文件的攻击者造成过量内存消耗，并可能因内存不足情况终止受影响的进程。已在版本 0.4.1 中修补此问题。变通方案是避免解析受攻击者控制的用户或群组数据库文件，或者在解析前验证和限制不受信任的输入。
(CVE-2026-61801)
当客户端发送 Trailer 标头时，HTTP 服务器在内部使用这些标头值填充传递给服务器处理程序的 Request.Trailer 映射。由于 Request.Trailer 是一个映射，因此每个条目都会产生内存开销。对于 HTTP/2 服务器，恶意客户端可利用此漏洞，通过发送声明大量字段的尾部标头，导致服务器分配不成比例的内存量，同时绕过 Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制。此漏洞不适用于 HTTP/1 服务器，因为 HTTP/1 服务器不支持通过一个 TCP 连接对大量请求进行多路复用，并且其 Server.MaxHeaderBytes 的计算方式不同。Server.MaxHeaderValueCount 和 Server.MaxHeaderBytes 限制现在应用于尾部标头中声明的尾部字段。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 已修复：
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78659）
以前，在多路复用器的 chanList 中注册的通道在建立之前无法使用。恶意对等机能够淹没通道的 incomingRequests，使整个连接死锁。现在，我们添加了当通道可用时设置的原子建立状态。在此之前，handlePacket 会丢弃除打开确认/失败以外的每个数据包，不会阻断也不会中断连接。
(CVE-2026-78662)
HTTP/2 服务器可针对相同的数据退还两次连接级别的流控制：这两次是在客户端重置流（为流的任何已发送但未读部分退还数据）时，另一次是在请求处理程序读取缓冲的数据时。恶意客户端可利用此漏洞，绕过配置的连接级流控制限制 （MaxReceiveBufferPerConnection）。缓冲数据总量仍受到并发流限制和流级流控制的限制。HTTP/2 服务器现在会等到请求处理程序完成后，才退还重置流的连接层级流控制。
注意：https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81743NOTE: 已修复：
https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 （go1.27.2）注意：修复者：
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 （go1.26.9） （CVE-2026-78663）
OpenTelemetry-Go 是 OpenTelemetry 的 Go 实现。从版本 1.5.0 到 1.44.0， sdk/trace。NewTracerProvider 发出 TracerProvider 创建的内部信息级诊断事件，其 MarshalLog 实现以递归方式包含 span 处理器、导出器和客户端配置。
调用 otel 的应用程序。因此，启用 OpenTelemetry 内部信息日志记录的 SetLogger 便可记录 OTLP gRPC 和 HTTP 回收器端点、OTLP HTTP 不安全标志，以及完整的 Zipkin 回收器 URL。有权访问这些日志的人员或系统可以了解内部收集器拓扑并恢复嵌入在 Zipkin URL 用户信息或查询字符串中的凭据或标记。默认 OpenTelemetry 记录器不会发出事件，且此路径不会记录 OTLP 身份验证标头、TLS 密钥材料或 SPAN 有效负载。此问题已在 1.45.0 版本中修复。(CVE-2026-81870)
containerd 是一个开源容器运行时。从 2.1.0 until 2.2.7 和 2.3.4，containerd 的 CRI CreateContainer 检查点还原容易受到攻击，因为 CRIU 会从检查点数据还原进程安全状态，而不是强制执行目标 ContainerConfig。能够从特制检查点创建容器的攻击者可提供还原的凭据、功能、no_new_privs和 seccomp 状态。还原的进程可以根用户身份运行，且该进程具有完整功能，且不使用强制的 seccomp 筛选器，同时 CRI 状态会报告所请求的配置。不使用 CRI 检查点还原的系统不受影响。此问题已在 2.2.7 和 2.3.4 版本中得到修补。(CVE-2026-95837)
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update containerd --releasever 2023.12.20261026”或“dnf update --advisory ALAS2023-2026-3273 --releasever 2023.12.20261026”以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3273.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-53493.html
https://explore.alas.aws.amazon.com/CVE-2026-56855.html
https://explore.alas.aws.amazon.com/CVE-2026-61801.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-78662.html
https://explore.alas.aws.amazon.com/CVE-2026-78663.html
插件详情
严重性: Medium
ID: 371911
文件名: al2023_ALAS2023-2026-3273.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.9
百分位: 96.41
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS 分数来源: CVE-2026-78663
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 7.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
风险因素: Medium
Base Score: 6.9
Threat Score: 2.7
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-53493
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:containerd-debuginfo, p-cpe:/a:amazon:linux:containerd-debugsource, p-cpe:/a:amazon:linux:containerd-stress-debuginfo, p-cpe:/a:amazon:linux:containerd-stress, p-cpe:/a:amazon:linux:containerd
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
易利用性: No known exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/9/2
参考资料信息
CVE: CVE-2026-53493, CVE-2026-56855, CVE-2026-61801, CVE-2026-78659, CVE-2026-78662, CVE-2026-78663, CVE-2026-81870, CVE-2026-95837
IAVA: 2026-A-1024
IAVB: 2026-B-0296-S