Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - Delete 函式在處理格式錯誤的 JSON 輸入時無法正確驗證位移。這可導致負片索引和運行時間錯誤進而允許拒絕服務攻擊。 (CVE-2026-32285)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

远程主机上安装的 cri-tools 版本低于 1.32.0-1。因此，该软件受到 ALAS2-2026-3236 公告中提及的多个漏洞影响。

    Delete 函数在处理畸形 JSON 输入时未正确验证偏移。这可导致负片索引和运行时错误从而允许拒绝服务攻击。 (CVE-2026-32285)

    gRPC-Go 是 gRPC 的 Go 语言实现。 1.79.3 之前的版本中存在因 HTTP/2 `:path` 伪标头的错误输入验证导致的授权绕过。gRPC-Go 服务器的路由逻辑过于宽松会接受“:path”中省略强制前导斜线的请求（例如“Service/Method”而非“/Service/Method”）。尽管服务器成功将这些请求路由到正确的处理程序授权拦截器包括官方“grpc/authz”程序包会评估原始的非规范路径字符串。因此使用规范路径以“/”开头定义的拒绝规则无法匹配传入的请求从而允许请求在存在回退允许规则时绕过策略。这会影响使用基于路径的授权拦截器的 gRPC-Go 服务器例如“google.golang.org/grpc/authz”中的官方 RBAC 实现或依赖“info.FullMethod”或“grpc.Method(ctx) 的自定义拦截器” `; AND 的安全策略包含针对规范路径的特定拒绝规则，但默认允许其他请求（回退允许规则）。攻击者可利用此漏洞将带有畸形“:path”标头的原始 HTTP/2 帧直接发送到 gRPC 服务器。版本 1.79.3 中的补丁可确保“:path”不以前导斜线开头的任何请求立即因“codes.Unimplemented”错误而拒绝从而防止其通过非规范路径访问授权拦截器或处理程序string。虽然升级是最安全且推荐的路径但用户可以使用下列方法之一缓解此漏洞使用验证拦截器推荐的缓解措施基础设施层级规范化；和/或策略强化。 (CVE-2026-33186)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

遠端主機上安裝的 cri-tools 版本低於 1.32.0-1。因此，它會受到 ALAS2-2026-3236 公告中所提及的多個弱點影響。

    處理格式錯誤的 JSON 輸入時Delete 函式無法正確驗證位移。這可導致負片索引和運行時間錯誤進而允許拒絕服務攻擊。 (CVE-2026-32285)

    gRPC-Go 是 gRPC 的 Go 語言實作。 1.79.3 之前的版本有一個授權繞過這是因為對 HTTP/2 `:path` 虛擬標頭進行不當輸入驗證所導致。gRPC-Go 伺服器的路由邏輯過於寬鬆會接受 `:path` 省略了必要前置斜線的要求 (例如`Service/Method` 而非 `/Service/Method`)。當伺服器成功將這些要求路由至正確的處置程式時授權攔截器 (包括官方 `grpc/authz` 套件) 會評估原始的非正式路徑字串。因此使用正式路徑 (以 `/` 開頭) 定義的拒絕規則無法符合傳入的要求如果存在遞補允許規則則其可繞過原則。這會影響使用路徑型授權攔截器的 gRPC-Go 伺服器例如 `google.golang.org/grpc/authz` 中的官方 RBAC 實作或依賴 `info.FullMethod` 或 `grpc.Method(ctx) 的自訂攔截器`;具有安全性原則的 AND 包含適用於正式路徑的特定拒絕規則但預設為允許其他要求 (遞補允許規則)。此弱點會遭到攻擊者惡意利用並可以將含有格式錯誤之 `:path` 標頭的原始 HTTP/2 框架直接傳送至 gRPC 伺服器。 1.79.3 版中的修正可確保任何「:path」開頭並非以前置斜線開頭的要求都會立即遭到拒絕並出現「codes.Unimplemented」錯誤進而防止其到達授權攔截器或處置程式具有非正式路徑字串。雖然升級是最安全且也是建議的路徑但是使用者可以使用下列方法之一減輕該弱點使用驗證攔截器 (建議的減輕)基礎結構層級標準化和/或策略強化。 (CVE-2026-33186)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Delete 函数在处理畸形 JSON 输入时未正确验证偏移。这可导致负片索引和运行时错误从而允许拒绝服务攻击。 (CVE-2026-32285)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Delete 関数が、無効な形式の JSON 入力を処理するときにオフセットを適切に検証できません。これが負のスライスインデックスとランタイムパニックにつながり、DoS攻撃サービス拒否攻撃が可能になります。CVE-2026-32285

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートホストにインストールされている cri-tools のバージョンは、1.32.0-1 より前です。したがって、ALAS2-2026-3236 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    Delete 関数が、無効な形式の JSON 入力を処理するときにオフセットを適切に検証できません。これが負のスライスインデックスとランタイムパニックにつながり、DoS攻撃サービス拒否攻撃が可能になります。CVE-2026-32285

    gRPC-Go は、gRPC の Go 言語実装です。 1.79.3 より前のバージョンには、HTTP/2「:path」疑似ヘッダーの不適切な入力検証を原因とする承認バイパスがあります。gRPC-Go サーバーは、そのルーティングロジックに寛大で、「:path」が必須の先頭のスラッシュを省略したリクエストを受け入れていました例「/Service/Method」の代わりに「Service/Method」。サーバーがこれらのリクエストを適切なハンドラーに正常にルーティングしている間、認証インターセプター公式の「grpc/authz」パッケージを含むは、生の非標準的なパス文字列を評価していました。その結果、正規パス (「/」で始まる) を使用して定義された拒否ルールが着信リクエストと一致せず、フォールバック許可ルールが存在した場合にポリシーをバイパスする可能性があります。これは、「google.golang.org/grpc/authz」の公式 RBAC 実装や「info.FullMethod」または「grpc.Method(ctx) に依存するカスタムインターセプタなどのパスベースの認証インターセプタを使用する gRPC-Go サーバーに影響します。 `;セキュリティポリシーを備えている AND には、正規パス用の特定の拒否ルールが含まれていますが、デフォルトでその他のリクエストを許可しています (フォールバック許可ルール)。この脆弱性は、無効な形式の「:path」ヘッダーのある生のHTTP/2フレームをgRPCサーバーに直接送信できる攻撃者によって悪用可能です。バージョン 1.79.3 での修正により、先頭にスラッシュで始まらない「:path」があるリクエストは、「codes.Unimplemented」エラーで即座に拒否され、非標準的なパスで承認インターセプターやハンドラーに到達しないようにしています。可能性があります。のアップグレードが最も安全で推奨されるパスですが、ユーザーは次のいずれかの方法を使用して脆弱性を軽減できます。検証インターセプターの使用 (推奨軽減)。インフラレベルの正規化および/またはポリシー強化を実施する可能性があります。CVE-2026-33186

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The Delete function fails to properly validate offsets when processing malformed JSON input. This can lead     to a negative slice index and a runtime panic, allowing a denial of service attack. (CVE-2026-32285)

Note that Nessus relies on the presence of the package as reported by the vendor.

The version of cri-tools installed on the remote host is prior to 1.32.0-1. It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2-2026-3236 advisory.

    The Delete function fails to properly validate offsets when processing malformed JSON input. This can lead     to a negative slice index and a runtime panic, allowing a denial of service attack. (CVE-2026-32285)

    gRPC-Go is the Go language implementation of gRPC. Versions prior to 1.79.3 have an authorization bypass     resulting from improper input validation of the HTTP/2 `:path` pseudo-header. The gRPC-Go server was too     lenient in its routing logic, accepting requests where the `:path` omitted the mandatory leading slash     (e.g., `Service/Method` instead of `/Service/Method`). While the server successfully routed these requests     to the correct handler, authorization interceptors (including the official `grpc/authz` package) evaluated     the raw, non-canonical path string. Consequently, deny rules defined using canonical paths (starting     with `/`) failed to match the incoming request, allowing it to bypass the policy if a fallback allow     rule was present. This affects gRPC-Go servers that use path-based authorization interceptors, such as the     official RBAC implementation in `google.golang.org/grpc/authz` or custom interceptors relying on     `info.FullMethod` or `grpc.Method(ctx)`; AND that have a security policy contains specific deny rules     for canonical paths but allows other requests by default (a fallback allow rule). The vulnerability is     exploitable by an attacker who can send raw HTTP/2 frames with malformed `:path` headers directly to the     gRPC server. The fix in version 1.79.3 ensures that any request with a `:path` that does not start with a     leading slash is immediately rejected with a `codes.Unimplemented` error, preventing it from reaching     authorization interceptors or handlers with a non-canonical path string. While upgrading is the most     secure and recommended path, users can mitigate the vulnerability using one of the following methods: Use     a validating interceptor (recommended mitigation); infrastructure-level normalization; and/or policy     hardening. (CVE-2026-33186)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
304167	Linux Distros 未修補的弱點：CVE-2026-32285	Nessus	Misc.	2026/3/28	2026/4/29	high
306302	Amazon Linux 2：cri-tools、--advisory ALAS2-2026-3236 (ALAS-2026-3236)	Nessus	Amazon Linux Local Security Checks	2026/4/14	2026/4/14	critical
306302	Amazon Linux 2：cri-tools、--advisory ALAS2-2026-3236 (ALAS-2026-3236)	Nessus	Amazon Linux Local Security Checks	2026/4/14	2026/4/14	critical
304167	Linux Distros 未修补的漏洞：CVE-2026-32285	Nessus	Misc.	2026/3/28	2026/4/29	high
304167	Linux Distros のパッチ未適用の脆弱性: CVE-2026-32285	Nessus	Misc.	2026/3/28	2026/4/29	high
306302	Amazon Linux 2 : cri-tools, --advisory ALAS2-2026-3236 (ALAS-2026-3236)	Nessus	Amazon Linux Local Security Checks	2026/4/14	2026/4/14	critical
304167	Linux Distros Unpatched Vulnerability : CVE-2026-32285	Nessus	Misc.	2026/3/28	2026/4/29	high
306302	Amazon Linux 2 : cri-tools, --advisory ALAS2-2026-3236 (ALAS-2026-3236)	Nessus	Amazon Linux Local Security Checks	2026/4/14	2026/4/14	critical

检测

插件搜索

high

critical

critical

high

high

critical

high

critical