リモートホストにインストールされている ecs-init のバージョンは、1.103.2-1 より前です。したがって、ALAS2ECS-2026-120 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    cgo DNS リゾルバーで LookupCNAME を使用すると、非常に長い CNAME 応答が C メモリの二重解放とクラッシュを発生させる可能性があります。(CVE-2026-33811)

    HTTP/2 SETTINGS フレームを処理するときに、値が 0 の SETTINGS_MAX_FRAME_SIZE を受け取ると、トランスポートは CONTINUATION フレームを書き込む無限ループに入ります。(CVE-2026-33814)

    ParseAddress、ParseAddressList、ParseDate に到達する巧妙に細工された入力により、過剰な CPU の枯渇とメモリ割り当てを発生させることが可能でした。(CVE-2026-39820)

    CVE-2026-27142 により、<meta> タグの <content> 属性内で URL が正しくエスケープされない脆弱性が修正されました。URL コンテンツが <content> 属性内の「=」記号の周囲に ASCII 空白を挿入する場合、エスケープ機能も同様にこれをエスケープできず、XSS が引き起こされるおそれがありました。(CVE-2026-39823)

    ReverseProxy は、Rewrite 関数に認識されないパラメーターを含むクエリを転送する可能性があります。ReverseProxy を Rewrite 関数、またはクエリパラメーターを解析する Director 関数と併用する場合、転送されるリクエストがサニタイズされ、url.ParseQuery によって解析されないクエリパラメーターが削除されます。ReverseProxy は、(GODEBUG=urlmaxqueryparams=N によって制御される) クエリパラメーターの総数に関する ParseQuery の制限を考慮しません。そのため、ReverseProxy が、Rewrite 関数に認識されないクエリパラメーターを含むリクエストを転送することが可能になります。たとえば、クエリ a1=x&a2=x&...&a10000=x&hidden=y を指定すると、パラメーター hidden=y をプロキシの Rewrite 関数から隠して転送できます。(CVE-2026-39825)

    信頼できるテンプレート作成者が空の「type」属性または ASCII 空白文字の入った「type」属性が入った <script> タグを書き込むと、テンプレートの実行時に <script> ブロックに渡されるデータが不適切にエスケープされます。(CVE-2026-39826)

    RFC 5322 に従ってメールアドレスを解析するとき、異常な入力により、consumePhrase を介して DoS が引き起こされる可能性があります。(CVE-2026-42499)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : ecs-init、--advisory ALAS2ECS-2026-120 (ALASECS-2026-120)

high Nessus プラグイン ID 319874

バージョン 1.1