远程主机上安装的 oci-add-hooks 版本低于 0-0.9.20200504git325a340。因此，该软件受到 ALAS2DOCKER-2026-115 公告中提及的多个漏洞影响。

    未正确检查循环中归纳变量上的演算是否存在 Go 编译器 (cmd/complie) 下溢或溢出。因此，编译器会允许在运行时发生无效索引访问，使用受影响的 Go 版本编译的程序可能会出现内存损坏问题。(CVE-2026-27143)

    Go 编译器 (cmd/compile) 对无操作接口类型转换处理存在错误，导致无法正确判定无重叠内存拷贝场景，使用受影响版本编译的程序，运行时可能发生内存损坏。 (CVE-2026-27144)

    在链构建期间，当 VerifyOptions.Intermediates 中传递大量中间证书时，不会正确限制已完成的工作量，这可导致拒绝服务。这会影响 crypto/x509 的直接用户和 crypto/tls 的用户。 (CVE-2026-32280)

    在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

    在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。 
    (CVE-2026-32282)

    如果 TLS 连接的一端在单个记录中发送握手后多条密钥更新消息，连接可能会死锁，从而导致不受控制的资源消耗。这可导致拒绝服务。这仅影响 TLS 1.3。 (CVE-2026-32283)

    tar.Reader 在读取包含大量以旧 GNU 稀疏映射格式编码的稀疏区域的恶意构建存档时，可分配不受限制的内存量。 (CVE-2026-32288)

    在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2026-1645 公告中提及的多个漏洞影响。

    未正确检查循环中归纳变量上的演算是否存在 Go 编译器 (cmd/complie) 下溢或溢出。因此，编译器会允许在运行时发生无效索引访问，使用受影响的 Go 版本编译的程序可能会出现内存损坏问题。(CVE-2026-27143)

    Go 编译器 (cmd/compile) 对无操作接口类型转换处理存在错误，导致无法正确判定无重叠内存拷贝场景，使用受影响版本编译的程序，运行时可能发生内存损坏。 (CVE-2026-27144)

    在链构建期间，当 VerifyOptions.Intermediates 中传递大量中间证书时，不会正确限制已完成的工作量，这可导致拒绝服务。这会影响 crypto/x509 的直接用户和 crypto/tls 的用户。 (CVE-2026-32280)

    在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

    在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。 
    (CVE-2026-32282)

    如果 TLS 连接的一端在单个记录中发送握手后多条密钥更新消息，连接可能会死锁，从而导致不受控制的资源消耗。这可导致拒绝服务。这仅影响 TLS 1.3。 (CVE-2026-32283)

    tar.Reader 在读取包含大量以旧 GNU 稀疏映射格式编码的稀疏区域的恶意构建存档时，可分配不受限制的内存量。 (CVE-2026-32288)

    在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 nerdctl 版本低于 2.2.2-1。因此，该软件受到 ALAS2-2026-3265 公告中提及的多个漏洞影响。

    未正确检查循环中归纳变量上的演算是否存在 Go 编译器 (cmd/complie) 下溢或溢出。因此，编译器会允许在运行时发生无效索引访问，使用受影响的 Go 版本编译的程序可能会出现内存损坏问题。(CVE-2026-27143)

    Go 编译器 (cmd/compile) 对无操作接口类型转换处理存在错误，导致无法正确判定无重叠内存拷贝场景，使用受影响版本编译的程序，运行时可能发生内存损坏。 (CVE-2026-27144)

    在链构建期间，当 VerifyOptions.Intermediates 中传递大量中间证书时，不会正确限制已完成的工作量，这可导致拒绝服务。这会影响 crypto/x509 的直接用户和 crypto/tls 的用户。 (CVE-2026-32280)

    在验证使用证书策略的证书链时，如果证书链中的证书包含大量策略映射，验证过程会出现异常低效的问题，可能导致拒绝服务攻击。这只会影响对本应受信任的证书链的验证，该证书链由根 CA 在 VerifyOptions.Roots CertPool 或系统证书池中颁发。 (CVE-2026-32281)

    在 Linux 系统下，如果在执行 Root.Chmod 操作的过程中，操作目标被替换为符号链接，Chmod 会作用于该符号链接指向的目标文件，即便该目标文件位于根目录范围之外，也会发生此问题。 
    (CVE-2026-32282)

    如果 TLS 连接的一端在单个记录中发送握手后多条密钥更新消息，连接可能会死锁，从而导致不受控制的资源消耗。这可导致拒绝服务。这仅影响 TLS 1.3。 (CVE-2026-32283)

    tar.Reader 在读取包含大量以旧 GNU 稀疏映射格式编码的稀疏区域的恶意构建存档时，可分配不受限制的内存量。 (CVE-2026-32288)

    在处理 JavaScript 模板字符串时，上下文无法在模板分支之间正确传递，导致内容可能出现错误转义。这可造成 JS 模板文本中的操作不正确地转义，从而导致 XSS 漏洞。 (CVE-2026-32289)

    Go JOSE 在 Go 中提供 Javascript 对象签名和加密标准集的实现，其中包括对 JSON Web Encryption (JWE)、JSON Web Signature (JWS) 和 JSON Web Token (JWT) 标准的支持。在 4.1.4 和 3.0.5 之前的版本中，解密JSON Web 加密（JWE）对象时，如果 alg 字段指定了密钥包装算法（以 KW 结尾、且排除 A128GCMKW、A192GCMKW、A256GCMKW 的算法），同时 encrypted_key 字段为空，程序会直接崩溃（panic）。当 key_wrap.go 中的 cipher.KeyUnwrap() 尝试根据 encrypted_key 的长度分配零长度或负长度的片时，会发生错误。可在生成的对象上从 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact()，然后是 Decrypt() 访问此代码路径。请注意，解析函数采用可接受的密钥算法列表。如果接受的密钥算法不包含任何密钥包装算法，解析将失败，应用程序不会受到影响。通过使用长度小于 16 字节的任何密码文本参数直接调用 cipher.KeyUnwrap() 也可导致此错误，但直接调用此函数的情况比较少见。错误可导致拒绝服务。此漏洞已在 4.1.4 和 3.0.5 中修复。(CVE-2026-34986)

    Sigstore Timestamp Authority 是用于颁发 RFC 3161 时间戳的服务。版本 2.0.5 及更低版本在 VerifyTimestampResponse 函数中包含一个授权绕过漏洞。
    VerifyTimestampResponse 正确地验证证书链签名，但 VerifyLeafCert 中的 TSA 特定限制检查使用 PKCS#7 证书包中的第一个非 CA 证书，而不是已验证的链的叶证书。攻击者可利用此漏洞，在消息使用授权密钥签名时，向证书包前置一个伪造证书，导致库使用一个证书验证签名，却使用另一个证书执行授权检查。此漏洞只会影响 timestamp-authority/v2/pkg/verification 程序包的用户，不会影响 timestamp-authority 服务本身或 sigstore-go。此问题已在 2.0.6 版本中修复。(CVE-2026-39984)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
314584	Amazon Linux 2：oci-add-hooks，--advisory ALAS2DOCKER-2026-115 (ALASDOCKER-2026-115)	Nessus	Amazon Linux Local Security Checks	2026/5/14	2026/5/14	critical
315619	Amazon Linux 2023：amazon-ecr-credential-helper (ALAS2023-2026-1645)	Nessus	Amazon Linux Local Security Checks	2026/5/20	2026/5/20	critical
311219	Amazon Linux 2：nerdctl、--advisory ALAS2-2026-3265 (ALAS-2026-3265)	Nessus	Amazon Linux Local Security Checks	2026/4/30	2026/4/30	critical

检测

插件搜索

critical

critical

critical