远程 Redhat Enterprise Linux 10 主机上存在安装的程序包该程序包受到 公告 RHSA-2025:7479 中提及的多个漏洞的影响。

    具有 OpenTelemetry Red Hat 版本受支持组件的收集器

    安全修复：

    * go-jose：Go JOSE 的解析容易遭受拒绝服务影响 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中，标记解析期间发生意外内存消耗 (CVE-2025-22868)

    * github.com/expr-lang/expr：含有无限制输入的 Expr 解析器中的内存耗尽 (CVE-2025-29786)

    * golang-jwt/jwt：jwt-go 允许在标头解析期间分配过多内存 (CVE-2025-30204)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 amazon-cloudwatch-agent 版本低于 1.300054.1-2。因此，该软件受到 ALAS2-2025-2851 公告中提及的多个漏洞影响。

    net/http 程序包接受了分块传输编码中的数据，其中包含以纯 LF 终止的无效区块大小行。当与服务器或代理结合使用时，如果服务器或代理错误地将分块扩展中纯 LF 解释为扩展的一部分，就会允许请求走私。
    (CVE-2025-22871)

    Expr 是 Go 的表达式语言和表达式评估。在版本 1.17.0 之前，如果为 Expr 表达式解析器提供未限制输入的字符串，它将尝试编译整个字符串，并为表达式的各部分生成抽象语法树 (AST) 节点。在未限制输入大小的情况下，恶意或无意间极大的表达式可能会消耗过多内存，因为解析器构建了巨大的 AST。这最终可能导致*过量内存使用和进程的内存不足 (OOM) 崩溃。此问题相对少见，仅当对输入大小没有限制时才会出现，表达式长度可任意变长。在输入受到限制或验证的典型用例中，此问题不会出现。最新版本的 Expr 库中此问题已得到修复。修复后，在解析过程中对 AST 节点数量和内存使用量引入了编译时限制，防止任何单一表达式耗尽资源。用户应升级到 Expr 版本 1.17.0 或更高版本，因为此版本包含新的节点边界和内存限制防护措施。升级到 v1.17.0 可确保编译期间检测并安全中止极深或极大的表达式，从而避免 OOM 情况。对于无法立即升级的用户，建议在解析前施加输入大小限制的变通方案。实际上，这意味着要验证应用程序将接受的表达式字符串的长度，或限制其长度。例如，为任何表达式设置允许的最大字符数（或节点数），并拒绝或截断超出此限制的输入。通过确保不向解析器输入无限制长度的表达式，可以防止解析器构造出病态的大型 AST，并避免潜在的内存耗尽。简而言之，预先验证并限制输入大小，是作为缺少修补程序时的一项保障。
    (CVE-2025-29786)

    golang-jwt 是 JSON Web 标记的 Go 实现。在 5.2.2 和 4.5.2 之前的版本中，函数 parse.ParseUnverified 按句号拆分（通过调用 strings.Split）其参数（不受信任的数据）。因此，遇到授权标头由 Bearer 后跟许多句点字符组成的恶意请求时，调用该函数会造成 O(n) 字节调整的分配（其中 n 代表函数参数的长度)，常数因子大约为 16。此问题已在 5.2.2 和 4.5.2 中得到修补。(CVE-2025-30204)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Expr 是一种适用于 Go 的表达式语言和表达式求值。在版本 1.17.0 之前，如果为 Expr 表达式解析器提供未限制输入的字符串，它将尝试编译整个字符串，并为表达式的各部分生成抽象语法树 (AST) 节点。在未限制输入大小的情况下，恶意或无意间极大的表达式可能会消耗过多内存，因为解析器构建了巨大的 AST。这最终可能导致*过量内存使用和进程的内存不足 (OOM) 崩溃。此问题相对少见，仅当对输入大小没有限制时才会出现，表达式长度可任意变长。在输入受到限制或验证的典型用例中，此问题不会出现。最新版本的 Expr 库中此问题已得到修复。修复后，在解析过程中对 AST 节点数量和内存使用量引入了编译时限制，防止任何单一表达式耗尽资源。用户应升级到 Expr 版本 1.17.0 或更高版本，因为此版本包含新的节点边界和内存限制防护措施。升级到 v1.17.0 可确保编译期间检测并安全中止极深或极大的表达式，从而避免 OOM 情况。对于无法立即升级的用户，建议在解析前施加输入大小限制的变通方案。实际上，这意味着要验证应用程序将接受的表达式字符串的长度，或限制其长度。例如，为任何表达式设置允许的最大字符数（或节点数），并拒绝或截断超出此限制的输入。通过确保不向解析器输入无限制长度的表达式，可以防止解析器构造出病态的大型 AST，并避免潜在的内存耗尽。简而言之，预先验证并限制输入大小，是作为缺少修补程序时的一项保障。
    (CVE-2025-29786)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 RockyLinux 10 主机上存在安装的程序包该程序包受到公告 RLSA-2025:7479 中提及的多个漏洞的影响。

    * go-jose：Go JOSE 的解析容易遭受拒绝服务影响 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中，标记解析期间发生意外内存消耗 (CVE-2025-22868)

    * github.com/expr-lang/expr：含有无限制输入的 Expr 解析器中的内存耗尽 (CVE-2025-29786)

    * golang-jwt/jwt：jwt-go 允许在标头解析期间分配过多内存 (CVE-2025-30204)

Tenable 已直接从 RockyLinux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:3335 公告中提及的多个漏洞的影响。

    具有 OpenTelemetry Red Hat 版本受支持组件的收集器

    安全修复：

    * golang: net/http：跨域重定向后错误地发送敏感标头 (CVE-2024-45336)

    * go-jose：Go JOSE 的解析容易遭受拒绝服务影响 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中，标记解析期间发生意外内存消耗 (CVE-2025-22868)

    * github.com/expr-lang/expr：含有无限制输入的 Expr 解析器中的内存耗尽 (CVE-2025-29786)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-968 公告中提及的多个漏洞影响。

    net/http 程序包接受了分块传输编码中的数据，其中包含以纯 LF 终止的无效区块大小行。当与服务器或代理结合使用时，如果服务器或代理错误地将分块扩展中纯 LF 解释为扩展的一部分，就会允许请求走私。
    (CVE-2025-22871)

    Expr 是 Go 的表达式语言和表达式评估。在版本 1.17.0 之前，如果为 Expr 表达式解析器提供未限制输入的字符串，它将尝试编译整个字符串，并为表达式的各部分生成抽象语法树 (AST) 节点。在未限制输入大小的情况下，恶意或无意间极大的表达式可能会消耗过多内存，因为解析器构建了巨大的 AST。这最终可能导致*过量内存使用和进程的内存不足 (OOM) 崩溃。此问题相对少见，仅当对输入大小没有限制时才会出现，表达式长度可任意变长。在输入受到限制或验证的典型用例中，此问题不会出现。最新版本的 Expr 库中此问题已得到修复。修复后，在解析过程中对 AST 节点数量和内存使用量引入了编译时限制，防止任何单一表达式耗尽资源。用户应升级到 Expr 版本 1.17.0 或更高版本，因为此版本包含新的节点边界和内存限制防护措施。升级到 v1.17.0 可确保编译期间检测并安全中止极深或极大的表达式，从而避免 OOM 情况。对于无法立即升级的用户，建议在解析前施加输入大小限制的变通方案。实际上，这意味着要验证应用程序将接受的表达式字符串的长度，或限制其长度。例如，为任何表达式设置允许的最大字符数（或节点数），并拒绝或截断超出此限制的输入。通过确保不向解析器输入无限制长度的表达式，可以防止解析器构造出病态的大型 AST，并避免潜在的内存耗尽。简而言之，预先验证并限制输入大小，是作为缺少修补程序时的一项保障。
    (CVE-2025-29786)

    golang-jwt 是 JSON Web 标记的 Go 实现。在 5.2.2 和 4.5.2 之前的版本中，函数 parse.ParseUnverified 按句号拆分（通过调用 strings.Split）其参数（不受信任的数据）。因此，遇到授权标头由 Bearer 后跟许多句点字符组成的恶意请求时，调用该函数会造成 O(n) 字节调整的分配（其中 n 代表函数参数的长度)，常数因子大约为 16。此问题已在 5.2.2 和 4.5.2 中得到修补。(CVE-2025-30204)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Azure Linux 3.0 主机上安装的 coredns / ig / keda 版本低于 测试的 版本。因此，该程序受到 CVE-2025-29786 公告中提及的一个漏洞影响。

  - Expr 是一种适用于 Go 的表达式语言和表达式求值。在 1.17.0版之前的版本中如果为 Expr 表达式解析器提供了不受限制的输入字符串它将尝试编译整个字符串并为表达式的每个部分生成一个抽象语法树 (AST) 节点。在不限制输入大小的情况下当解析器构建巨大 AST 时恶意或无意的极大表达式可能消耗过多内存。这最终可导致*过量使用内存和进程内存不足 (OOM) 崩溃。此问题相对少见，仅当对输入大小没有限制时即允许表达式长度增长任意时才会出现。在限制或验证输入的典型使用案例中不会发生此问题。最新版本的 Expr 库中已修补此问题。补丁在解析期间引入了对 AST 节点数量和内存使用量的编译时间限制从而防止任何单个表达式耗尽资源。用户应升级到 Expr 版本 1.17.0 或更高版本因为此版本包含新的节点预 算和内存限制保障。升级至 v1.17.0 可确保在编译期间检测到并安全中止过深或过大的表达式从而避免 OOM 条件。对于无法立即升级的用户，建议的变通方案是在解析之前施加输入大小限制。实际上，这意味着验证或限制应用程序将接受的表达式字符串的长度。例如，设置表达式的最大允许字符（或节点）数量，并拒绝或截断超过此限制的输入。通过确保任何无限长度的表达式都不会被馈送到解析器中可以防止解析器构建异常巨大的 AST 并避免潜在的内存耗尽。简而言之，在缺少修补程序的情况下，可预先验证并设置输入大小上限，作为安全措施。
    (CVE-2025-29786)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:7407 公告中提及的多个漏洞的影响。

    具有 OpenTelemetry Red Hat 版本受支持组件的收集器

    安全修复：

    * go-jose：Go JOSE 的解析容易遭受拒绝服务影响 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中，标记解析期间发生意外内存消耗 (CVE-2025-22868)

    * github.com/expr-lang/expr：含有无限制输入的 Expr 解析器中的内存耗尽 (CVE-2025-29786)

    * golang-jwt/jwt：jwt-go 允许在标头解析期间分配过多内存 (CVE-2025-30204)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2025:3593 公告中提及的多个漏洞影响。

    具有 OpenTelemetry Red Hat 版本受支持组件的收集器

    安全修复：

    * golang: net/http：跨域重定向后错误地发送敏感标头 (CVE-2024-45336)

    * go-jose：Go JOSE 的解析容易遭受拒绝服务影响 (CVE-2025-27144)

    * golang.org/x/oauth2/jws：在 golang.org/x/oauth2/jws 中，标记解析期间发生意外内存消耗 (CVE-2025-22868)

    * github.com/expr-lang/expr：含有无限制输入的 Expr 解析器中的内存耗尽 (CVE-2025-29786)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
237843	RHEL 10opentelemetry-collector (RHSA-2025:7479)	Nessus	Red Hat Local Security Checks	2025/6/5	2025/6/5	high
235886	Amazon Linux 2：amazon-cloudwatch-agent (ALAS-2025-2851)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/5/13	high
251971	Linux Distros 未修补的漏洞：CVE-2025-29786	Nessus	Misc.	2025/8/19	2026/4/29	high
266573	RockyLinux 10opentelemetry-collector (RLSA-2025:7479)	Nessus	Rocky Linux Local Security Checks	2025/10/4	2025/10/4	high
233522	RHEL 9：opentelemetry-collector (RHSA-2025:3335)	Nessus	Red Hat Local Security Checks	2025/3/29	2025/6/5	high
235902	Amazon Linux 2023：amazon-cloudwatch-agent (ALAS2023-2025-968)	Nessus	Amazon Linux Local Security Checks	2025/5/13	2025/5/13	high
234061	Azure Linux 3.0 安全更新coredns / ig / keda (CVE-2025-29786)	Nessus	Azure Linux Local Security Checks	2025/4/9	2025/9/15	high
235835	RHEL 9opentelemetry-collector (RHSA-2025:7407)	Nessus	Red Hat Local Security Checks	2025/5/13	2025/6/5	high
233934	RHEL 9：opentelemetry-collector (RHSA-2025:3593)	Nessus	Red Hat Local Security Checks	2025/4/5	2025/6/5	high

检测

插件搜索

high

high

high

high

high

high

high

high

high