远程主机上安装的 soci-snapshotter 版本低于 0.16.1-1。因此，该软件受到 ALAS2DOCKER-2026-157 公告中提及的多个漏洞影响。

    由于存在与特定证书颁发机构 （CA） 颁发的一小组中间证书有关的安全问题，Go 的 crypto/x509 程序包已更新为不信任受影响的中间证书所颁发的证书。这可防止日后可能滥用受影响的中间证书所颁发的证书。

    基于 Amazon Linux golang 的程序包正在使用中所述 CVE-2026-111943 的修复的 crypto/x509 程序包进行重建，该程序包是针对具有弱私钥的 eMudhra 中间 CA 证书的深度防御措施。

    默认情况下，Amazon Linux 上的 Go 程序使用系统范围的证书颁发机构 （CA） 存储。因此，此问题的主要补丁为使用 ca-certificates 更新，删除签署了受影响中间服务器的根 CA 证书。客户应确保已安装更新：
    https://explore.alas.aws.amazon.com/CVE-2026-113470.html （CVE-2026-111943）

    “github.com/moby/sys/user”程序包提供 Go 实用工具，用于解析和查找 Unix 样式的用户和群组数据库文件中的条目。之前 0.4.1 的版本在解析“/etc/passwd”- 或“/etc/group”样式文件时没有充分限制条目，这允许可提供特别构建的文件的攻击者造成过量内存消耗，并可能因内存不足情况终止受影响的进程。已在版本 0.4.1 中修补此问题。变通方案是避免解析受攻击者控制的用户或群组数据库文件，或者在解析前验证和限制不受信任的输入。
    (CVE-2026-61801)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Amazon Linux 2：soci-snapshotter (ALASDOCKER-2026-157)

medium Nessus 插件 ID 374359

版本 1.1