リモートホストにインストールされている amazon-ecr-credential-helper のバージョンは、0.11.0-3 より前です。したがって、ALAS2ECS-2026-095 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    net/http: Request.ParseForm におけるメモリ枯渇 (CVE-2025-61726)

    archive/zip: 任意の ZIP アーカイブを解析する際のサービス拒否 (CVE-2025-61728)

    crypto/tls: ハンドシェイクメッセージが不適切な暗号化レベルで処理される可能性があります (CVE-2025-61730)

    cmd/go: フラグサニタイズのバイパスにより、任意のコードが実行される可能性があります (CVE-2025-61731)

    cmd/go: ツールチェーンを呼び出す際の予期しないコードの実行 (CVE-2025-68119)

    crypto/tls: Config.Clone は自動的に生成されたセッションチケットキーをコピーし、セッション再開に完全な証明書チェーンの有効期限は考慮されません (CVE-2025-68121)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : amazon-ecr-credential-helper, --advisory ALAS2ECS-2026-095 (ALASECS-2026-095)

critical Nessus プラグイン ID 298078

バージョン 1.4