远程主机上安装的 runfinch-finch 版本低于 1.17.2-1。因此，该软件受到 ALAS2DOCKER-2026-137 公告中提及的多个漏洞影响。

    在 Unix 系统上，在操作系统中打开文件。当路径的最后一个路径组件是符号链接，且路径以 / 结尾时，根错误地遵循指向根外部位置的符号链接。例如，“root.即使 symlink 是指向根外部的符号链接，Open（symlink/）' 也将打开 symlink。（CVE-2026-39822）

    使用加密客户端 Hello 的握手可被被动网络观察者去匿名化，这是因为泄露了未加密客户端 hello 中的预共享密钥身份。（CVE-2026-42505）

    在 Rekor 中发现一个缺陷。“Package.Unmarshal（）”函数处理 Alpine Package Keep （APK） 文件，可以解压缩 gzip 流，而不限制总解压缩大小。远程攻击者可通过构建高压缩比的恶意 APK 文件来利用此漏洞，从而导致服务器消耗过多内存。这会导致通过内存不足 （OOM） 错误发动拒绝服务 （DoS），并且可通过未经身份验证的 API 端点触发。（CVE-2026-48702）

    在 Fulcio 的 OpenID Connect （OIDC） 发现客户端中发现一个缺陷。此漏洞允许远程攻击者将发现请求重定向到内部系统，从而执行服务器端请求伪造 （SSRF）。此外，攻击者可操纵 JSON Web 密钥集 （JWKS） 统一资源标识符 （URI），使用恶意密钥毒化校验器缓存，从而启用验证攻击者控制的签名。此外，该缺陷可导致 Kubernetes ServiceAccount 令牌通过跨主机重定向或错误配置的 MetaIssuer 泄露给第三方主机，从而可能暴露敏感的群集凭据。（CVE-2026-49478）

    在 Sigstore Timestamp Authority 中发现一个缺陷。未经身份验证的远程攻击者可通过以任意 HTTP 路径和方法发送请求，来恶意利用此漏洞。这会导致创建过多的唯一指标标签，从而造成无限内存增长和服务器上拒绝服务 （DoS） 情况。此问题属于不当限制资源消耗 （CWE-770）。
    (CVE-2026-49835)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Sigstore Timestamp Authority 是用于发布 RFC 3161 时间戳的服务。在之前 2.1.0，全局 wrapMetrics 中间件会记录原始 HTTP 请求路径 r.URL。路径和原始 HTTP 请求方法 r.Method as Prometheus 在路由前标记延迟和请求计数指标矢量，从而允许未经身份验证的远程攻击者发出具有随机路径的请求（例如 /api/v1/timestamp/ 或<uuid> 随机 HTTP 方法），并创建耗尽内存的无限制永久时间序列条目。此问题已在 2.1.0 版本中修复。(CVE-2026-49835)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

因此，该软件受到 ALAS2023-2026-2023 公告中提及的多个漏洞影响。

    在 Unix 系统上，在操作系统中打开文件。当路径的最后一个路径组件是符号链接，且路径以 / 结尾时，根错误地遵循指向根外部位置的符号链接。例如，“root.即使 symlink 是指向根外部的符号链接，Open（symlink/）' 也将打开 symlink。（CVE-2026-39822）

    使用加密客户端 Hello 的握手可被被动网络观察者去匿名化，这是因为泄露了未加密客户端 hello 中的预共享密钥身份。（CVE-2026-42505）

    在 Rekor 中发现一个缺陷。“Package.Unmarshal（）”函数处理 Alpine Package Keep （APK） 文件，可以解压缩 gzip 流，而不限制总解压缩大小。远程攻击者可通过构建高压缩比的恶意 APK 文件来利用此漏洞，从而导致服务器消耗过多内存。这会导致通过内存不足 （OOM） 错误发动拒绝服务 （DoS），并且可通过未经身份验证的 API 端点触发。（CVE-2026-48702）

    在 Fulcio 的 OpenID Connect （OIDC） 发现客户端中发现一个缺陷。此漏洞允许远程攻击者将发现请求重定向到内部系统，从而执行服务器端请求伪造 （SSRF）。此外，攻击者可操纵 JSON Web 密钥集 （JWKS） 统一资源标识符 （URI），使用恶意密钥毒化校验器缓存，从而启用验证攻击者控制的签名。此外，该缺陷可导致 Kubernetes ServiceAccount 令牌通过跨主机重定向或错误配置的 MetaIssuer 泄露给第三方主机，从而可能暴露敏感的群集凭据。（CVE-2026-49478）

    在 Sigstore Timestamp Authority 中发现一个缺陷。未经身份验证的远程攻击者可通过以任意 HTTP 路径和方法发送请求，来恶意利用此漏洞。这会导致创建过多的唯一指标标签，从而造成无限内存增长和服务器上拒绝服务 （DoS） 情况。此问题属于不当限制资源消耗 （CWE-770）。
    (CVE-2026-49835)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
332018	Amazon Linux 2：runfinch-finch，--advisory ALAS2DOCKER-2026-137 (ALASDOCKER-2026-137)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high
327768	Linux Distros 未修补的漏洞：CVE-2026-49835	Nessus	Misc.	2026/7/18	2026/8/3	high
332009	Amazon Linux 2023：runfinch-finch (ALAS2023-2026-2023)	Nessus	Amazon Linux Local Security Checks	2026/8/4	2026/8/4	high

检测

插件搜索

high

high

high