リモートホストにインストールされている amazon-ssm-agent のバージョンは、3.3.3050.0-1 より前です。したがって、ALAS2-2025-3010 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/http パッケージは、ベア LF で終了する無効なチャンクサイズの行を含むチャンク転送エンコーディングでデータを受け入れていました。チャンク拡張のベア LF を拡張の一部として不適切に解釈するサーバーまたはプロキシと併用される場合、リクエストスマグリングを引き起こす可能性があります。
    (CVE-2025-22871)

    tokenizer は、solidus 文字 (/) で終わる、引用符で囲まれていない属性値を持つタグを自己終了であると誤って解釈します。Tokenizer を直接使用している場合、このようなタグが誤って自己終了としてマークされる可能性があります。また、Parse 機能を使用している場合、これにより、DOM 構築中にこのようなタグに続くコンテンツが誤ったスコープに配置される可能性があります。ただし、これはタグが外部コンテンツにある場合のみ発生します (例: 
    <math>、<svg> などのコンテキスト)。

    分析後、2025-22872 は Amazon Linux 2 または Amazon Linux 2023 の docker または containerd にセキュリティリスクをもたらさないと判断しました。govulncheck を使用するソースコード分析により、これらのパッケージには脆弱なコードが含まれていないことが確認されています。その結果、AL2 と AL2023 のこれらの特定のパッケージにはセキュリティパッチが必要ありません。(CVE-2025-22872)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2amazon-ssm-agent、 --advisory ALAS2-2025-3010ALAS-2025-3010

medium Nessus プラグイン ID 266165

バージョン 1.1