Amazon Linux 2023 : amazon-cloudwatch-agent (ALAS2023-2026-1747)

critical Nessus プラグイン ID 316992

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1747 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

ループ内の誘導変数に対する算術演算が、Go compiler (cmd/compile) のアンダーフローやオーバーフローに関して適切にチェックされていませんでした。その結果、コンパイラは実行時に無効なインデックスアクセスを許可し、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、メモリ破損を引き起こす可能性がありました。(CVE-2026-27143)

Go compiler (cmd/compile) が、no-op インターフェース変換を不適切に処理し、重複しないメモリ移動に関する正しい決定を妨げ、影響を受ける Go バージョンでコンパイルされたプログラムにおいて、ランタイム時にメモリ破損を引き起こす可能性があります。(CVE-2026-27144)

チェーン構築中に、VerifyOptions.Intermediates に多数の中間証明書が渡されると、行われる作業量が正しく制限されず、サービス拒否が発生する可能性があります。これは、crypto/x509 の直接のユーザーおよび crypto/tls のユーザーの両方に影響します。(CVE-2026-32280)

ポリシーを使用する証明書チェーンの検証は、チェーン内の証明書に非常に多くのポリシーマッピングが含まれている場合、予想外に非効率的であり、サービス拒否を引き起こす可能性があります。これは、VerifyOptions.Roots CertPool 内の root CA によって発行される、またはシステム証明書プール内の root CA によって発行される、他の方法で信頼できる証明書チェーンの検証のみに影響します。(CVE-2026-32281)

Linux で、chmod 操作の進行中に Root.Chmod のターゲットがシンボリックリンクに置き換えられた場合、ターゲットが root の外部にある場合でも、Chmod がシンボリックリンクのターゲットで操作できます。
(CVE-2026-32282)

TLS 接続の一方の側が、単一のレコードでのハンドシェイク後に複数のキー更新メッセージを送信する場合、接続がデッドロックし、制御されないリソース消費が発生する可能性があります。これにより、サービス拒否が引き起こされる可能性があります。これは TLS 1.3 のみに影響します。(CVE-2026-32283)

ブール値の XPath 式が true と評価されると、logicalQuery.Select で無限ループを引き起こし、CPU 使用率が 100% になる可能性があります。これは、1=1 や true() などのトップレベルのセレクターによって引き起こされる可能性があります。
(CVE-2026-32287)

tar.Reader は、古い GNU スパースマップフォーマットでエンコードされた多数のスパース領域を含む悪意のある細工されたアーカイブを読み取る際に、無制限の量のメモリを割り当てる可能性があります。(CVE-2026-32288)

JS テンプレートリテラルのテンプレートブランチの間でコンテキストが適切に追跡されなかったため、コンテンツが不適切にエスケープされた可能性がありました。これにより、JS テンプレートリテラル内のアクションが不適切にエスケープされ、XSS の脆弱性につながる可能性があります。(CVE-2026-32289)

cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

HTTP/2 SETTINGS フレームを処理するときに、値が 0 の SETTINGS_MAX_FRAME_SIZE を受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

ParseAddress、ParseAddressList、ParseDate に到達する巧妙に細工された入力により、過剰な CPU の枯渇とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

CVE-2026-27142 により、<meta> タグの <content> 属性内で URL が正しくエスケープされない脆弱性が修正されました。URL コンテンツが <content> 属性内の「=」記号の周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にこれをエスケープできず、XSS が引き起こされるおそれがありました。(CVE-2026-39823)

ReverseProxy は、Rewrite 関数に認識されないパラメーターを含むクエリを転送する可能性があります。ReverseProxy を Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用する場合、転送されるリクエストがサニタイズされ、url.ParseQuery によって解析されないクエリパラメーターが削除されます。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される) クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。そのため、ReverseProxy が、Rewrite 関数に認識されないクエリパラメーターを含むリクエストを転送することが可能になります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y を指定すると、パラメーター hidden=y をプロキシの Rewrite 関数から隠して転送できます。(CVE-2026-39825)

信頼できるテンプレート作成者が空の「type」属性または ASCII 空白文字の入った「type」属性が入った <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

OpenTelemetry-Go は OpenTelemetry の Go 実装です。1.43.0 より前では、otlp HTTP エクスポージャー (traces/metrics/logs) は、HTTP 応答本体をサイズ cap なしでメモリ内の bytes.Buffer に読み取ります。
これは、構成済みのコレクターエンドポイントが攻撃者によって制御されている場合 (またはネットワーク攻撃者がエクスポージャー接続を緩和できる場合) に、メモリ枯渇に悪用される可能性があります。この脆弱性は 1.43.0 で修正されています。
(CVE-2026-39882)

Apache Thrift TFramedTransport Go 言語実装における整数オーバーフローまたはラップアラウンドの脆弱性

この問題は 0.23.0 より前の Apache Thrift に影響します。

ユーザーには、この問題を修正したバージョンであるバージョン 0.23.0 へのアップグレードをお勧めします。(CVE-2026-41602)

RFC 5322 に従ってメールアドレスを解析するとき、異常な入力により、consumePhrase を介して DoS が引き起こされる可能性があります。(CVE-2026-42499)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update amazon-cloudwatch-agent --releasever 2023.11.20260526」または「dnf update --advisory ALAS2023-2026-1747 --releasever 2023.11.20260526」を実行してシステムを更新してください。