Amazon Linux 2amazon-efs-utils、 --advisory ALAS2-2026-3245ALAS-2026-3245

critical Nessus プラグイン ID 306268

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている amazon-efs-utils のバージョンは、3.0.0-4 より前です。したがって、ALAS2-2026-3245 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

time は Rust で日時処理を提供します。 0.3.6 から 0.3.47より前のでは、ユーザー指定の入力が RFC 2822 形式で解析するいずれかのタイプに提供されると、スタック枯渇を通じた DoS 攻撃サービス拒否攻撃が可能になります。この攻撃は、悪意のある方法で使用される RFC 2822 形式の一部である、公式に廃止され、ほとんど使用されない機能に依存しています。通常の悪意のない入力では、このシナリオに遭遇することはありません。
再帰の深さに対する制限が v0.3.47 に追加されました。このバージョンから、スタックを消費するのではなく、エラーが返されます。CVE-2026-25727

AWS-LC の PKCS7_verify() の証明書検証が不適切であるため、認証されていないユーザーが、最後の署名者以外の複数の署名者で PKCS7 オブジェクトを処理する際に、証明書チェーンの検証をバイパスする可能性があります。

AWS サービスのお客様は、何もする必要はありません。AWS-LC を使用しているアプリケーションは、AWS-LC バージョン 1.69.0にアップグレードする必要があります。CVE-2026-3336

AWS-LC における AES-CCM 復号化での観察可能なタイミングの不一致により、認証されていないユーザーが、タイミング分析によって認証タグの有効性を判断する可能性があります。

影響を受ける実装は、EVP CIPHER API 経由です。EVP_aes_128_ccm、EVP_aes_192_ccm、EVP_aes_256_ccm。

AWS サービスのお客様は、何もする必要はありません。AWS-LC を使用しているアプリケーションは、AWS-LC バージョン 1.69.0にアップグレードする必要があります。CVE-2026-3337

AWS-LC の PKCS7_verify() における署名検証が不適切であるため、認証されていないユーザーが、認証属性で PKCS7 オブジェクトを処理する際に、署名検証をバイパスする可能性があります。

AWS サービスのお客様は、何もする必要はありません。AWS-LC を使用しているアプリケーションは、AWS-LC バージョン 1.69.0にアップグレードする必要があります。CVE-2026-3338

1.71.0 より前の AWS-LC の CRL 配布ポイント検証の論理エラーにより、分割された CRL が範囲外として誤って拒否されます。これにより、失効された証明書が証明書失効チェックをバイパスする可能性があります。

この問題を修正するために、ユーザーは AWS-LC 1.71.0 または AWS-LC-FIPS-3.3.0 にアップグレードする必要があります。CVE-2026-4428

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。