Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Delete 函数在处理畸形 JSON 输入时未正确验证偏移。这可导致负片索引和运行时错误从而允许拒绝服务攻击。 (CVE-2026-32285)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程主机上安装的 cri-tools 版本低于 1.32.0-1。因此，该软件受到 ALAS2-2026-3236 公告中提及的多个漏洞影响。

    Delete 函数在处理畸形 JSON 输入时未正确验证偏移。这可导致负片索引和运行时错误从而允许拒绝服务攻击。 (CVE-2026-32285)

    gRPC-Go 是 gRPC 的 Go 语言实现。 1.79.3 之前的版本中存在因 HTTP/2 `:path` 伪标头的错误输入验证导致的授权绕过。gRPC-Go 服务器的路由逻辑过于宽松会接受“:path”中省略强制前导斜线的请求（例如“Service/Method”而非“/Service/Method”）。尽管服务器成功将这些请求路由到正确的处理程序授权拦截器包括官方“grpc/authz”程序包会评估原始的非规范路径字符串。因此使用规范路径以“/”开头定义的拒绝规则无法匹配传入的请求从而允许请求在存在回退允许规则时绕过策略。这会影响使用基于路径的授权拦截器的 gRPC-Go 服务器例如“google.golang.org/grpc/authz”中的官方 RBAC 实现或依赖“info.FullMethod”或“grpc.Method(ctx) 的自定义拦截器” `; AND 的安全策略包含针对规范路径的特定拒绝规则，但默认允许其他请求（回退允许规则）。攻击者可利用此漏洞将带有畸形“:path”标头的原始 HTTP/2 帧直接发送到 gRPC 服务器。版本 1.79.3 中的补丁可确保“:path”不以前导斜线开头的任何请求立即因“codes.Unimplemented”错误而拒绝从而防止其通过非规范路径访问授权拦截器或处理程序string。虽然升级是最安全且推荐的路径但用户可以使用下列方法之一缓解此漏洞使用验证拦截器推荐的缓解措施基础设施层级规范化；和/或策略强化。 (CVE-2026-33186)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1607 公告中提及的多个漏洞影响。

    crypto/tls：握手消息可能在错误的加密级别被处理 (CVE-2025-61730)

    在 Unix 平台上，当使用 File.ReadDir 或 File.Readdir 列出目录的内容时，返回的 FileInfo 可以引用打开该文件的根目录以外的文件。此逃逸的影响仅限于从文件系统的任意位置读取 lstat 提供的元数据，而不允许读取或写入根外部的文件。（CVE-2026-27139）

    将 URL 插入 HTML 元标记的内容属性的操作不会转义。如果元标记还具有带有值 refresh 的 http-equiv 属性，这可允许 XSS。已添加新的 GODEBUG 设置 htmlmetacontenturlescape，该设置可用于通过设置 htmlmetacontenturlescape=0 在元内容属性中跟随 url= 的操作中禁用转义 URL。（CVE-2026-27142）

    在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

    在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。 
    (CVE-2026-32282)

    处理畸形 JSON 输入时，Delete 函数无法正确验证偏移。这可导致负切片索引和运行时错误，从而允许拒绝服务攻击。（CVE-2026-32285）

    在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

    gRPC-Go 是 gRPC 的 Go 语言实现。之前的版本存在 1.79.3 授权绕过漏洞，原因是对 HTTP/2“:p ath”伪标头的输入验证不正确。gRPC-Go 服务器的路由逻辑过于宽松，会接受其中 ':p ath' 遗漏强制性前置斜线的请求（例如，'Service/Method' 而非 '/Service/Method'）。当服务器成功将这些请求路由至正确的处理程序时，授权拦截器（包括官方“grpc/authz”程序包）会评估原始的、非规范的路径字符串。因此，使用规范路径（以“/”开头）定义的拒绝规则无法匹配传入请求，从而允许该请求在存在回退允许规则时绕过策略。这会影响使用基于路径的授权拦截器的 gRPC-Go 服务器，例如“google.golang.org/grpc/authz”中的官方 RBAC 实现或依赖于“info.FullMethod“或”grpc.Method（ctx）';具有安全策略的 AND 包含针对规范路径的特定拒绝规则，但默认允许其他请求（回退允许规则）。攻击者可利用此漏洞直接将带有畸形“:p ath”头的原始 HTTP/2 帧发送到 gRPC 服务器。版本 1.79.3 中的补丁可确保立即拒绝任何不以前置斜线开头的“:p ath”请求。Unimplemented“错误，从而阻止其接触到具有非规范路径字符串的授权拦截器或处理程序。尽管升级是最安全也是最推荐的途径，但用户仍可通过以下方法之一来缓解该漏洞： 使用验证拦截器（建议的缓解措施）;基础设施层面的规范化;和/或策略强化。（CVE-2026-33186）

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
304167	Linux Distros 未修补的漏洞：CVE-2026-32285	Nessus	Misc.	2026/3/28	2026/7/18	high
306302	Amazon Linux 2：cri-tools、--advisory ALAS2-2026-3236 (ALAS-2026-3236)	Nessus	Amazon Linux Local Security Checks	2026/4/14	2026/4/14	critical
311301	Amazon Linux 2023：rclone （ALAS2023-2026-1607）	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/5/11	medium

检测

插件搜索

high

critical

medium