Amazon Linux 2 : amazon-ecr-credential-helper (ALASDOCKER-2026-149)
critical Nessus プラグイン ID 371762
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされている amazon-ecr-credential-helper のバージョンは、0.12.0-5 より前です。したがって、ALAS2DOCKER-2026-149 のアドバイザリに記載されている複数の脆弱性の影響を受けます。Trailer ヘッダーがクライアントによって送信されると、HTTP サーバーは内部的にヘッダー値を使用して、サーバー ハンドラーに渡される Request.Trailer マップにデータを設定します。Request.Trailer はマップであるため、各エントリではメモリオーバーヘッドが発生します。HTTP/2 サーバーの場合、悪意のあるクライアントが、多数のフィールドを宣言する Trailer ヘッダーを送信することでこれを悪用し、Server.MaxHeaderValueCount および Server.MaxHeaderBytes の制限をバイパスしながら、サーバーに不均衡な量のメモリを割り当てさせる可能性があります。この悪用は、1つのTCP接続で多数のリクエストを多重化することをサポートしておらず、Server.MaxHeaderBytesの計算方法が異なるHTTP/1サーバーには適用できません。Server.MaxHeaderValueCount および Server.MaxHeaderBytes 制限が、Trailer ヘッダーで宣言された trailer フィールドに適用されるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 修正:
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78659)
HTTP/2サーバーは、同じデータに対して接続レベルのフロー制御を2回払い戻しを行う可能性があります。1回目はクライアントがストリームをリセットするとき(ストリームの送信されたが未読部分のデータを返金する)とき、もう1回はリクエストハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用して、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。HTTP/2 サーバーは現在、リクエストハンドラーが完了するまで、リセットストリームのための接続レベルのフロー制御の払い戻しを待機します。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81743NOTE: 修正:
https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78663)
多数の小さな範囲を含むRangeヘッダーを解析するとき、FileServer(FS)、ServeContent、ServeFile(FS)が過剰な量のCPUを消費する可能性があります。
これらの関数は、200 を超える範囲を含む Range ヘッダーを無視するようになりました。この制限は、新しい httpservecontentmaxranges=GODEBUG 設定で制御されます。GODEBUG=httpservecontentmaxranges=0 に設定すると、この制限が無効になります。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81858NOTE: 修正:
https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b (go1.26.9)(CVE-2026-78667)
HTTP サーバーのハンドラーが 2xx 応答を HTTP/1 CONNECT リクエストに送信し、接続をハイジャックせずに返す場合、サーバーは接続からのリクエストの読み込みとサービスを不適切に継続していました。
HTTP/1 CONNECT への 2xx 応答は接続をトンネルに変換するため、サーバーは接続を継続して HTTP を含むものとして扱うべきではありません。この誤作動の影響は、ほとんどの場合、潜在的なリクエストスマグリングに限定されています。このとき、仲介プロキシは接続上のデータがトンネルされたものであるとみなし、サーバーはそれを HTTP であると見なします。HTTP/1 サーバーは、応答ステータスにかかわらず、CONNECT リクエストに応答した後、必ず接続を閉じるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81744NOTE: 修正:
https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a (go1.26.9)(CVE-2026-94439)
パートの先頭の残り制限が 400 バイト未満の場合、マルチパートフォームを解析すると、メモリ制限がバイパスされ、任意の長さの行がメモリに読み込まれる可能性があります。マルチパートフォームのメモリ制限が、この状況で適切に適用されるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81741NOTE: 修正:
https://github.com/golang/go/commit/7c79b50a74b6d1aa4269b1827dda7d81f3717f9d (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/d7a7aa8e6781ddf8dce12adf60a813d957d4763e (go1.26.9)(CVE-2026-94440)
JavaScript テンプレートリテラルに連続した式が含まれている場合、新しい式の入力時にコンテキストトラッキング状態が適切にリセットされませんでした。現在では、テンプレートリテラル式エントリがコンテキスト変数を正しくリセットするようにしており、後続するすべての正規表現リテラルが正確に認識され、エスケープされます。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81821NOTE: 修正:
https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 (go1.26.9)(CVE-2026-94448)
信頼できるテンプレート作成者は、|yield|が適切にエスケープされないことを発見しました。現在は、有効なキーワードの使用がエスケープされ、キーワードでない使用がエスケープされないようにしています。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81823NOTE: 修正:
https://github.com/golang/go/commit/6e2cfab0a1c1683c52f9e09270627b0c4e6446e3 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/5d84f6f08caf63b5f1300930368756bd34955f4a (go1.26.9)(CVE-2026-97030)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update amazon-ecr-credential-helper」または「yum update --advisory ALAS2DOCKER-2026-149」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2DOCKER-2026-149.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-78663.html
https://explore.alas.aws.amazon.com/CVE-2026-78667.html
https://explore.alas.aws.amazon.com/CVE-2026-94439.html
https://explore.alas.aws.amazon.com/CVE-2026-94440.html
プラグインの詳細
深刻度: Critical
ID: 371762
ファイル名: al2_ALASDOCKER-2026-149.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/24
更新日: 2026/10/24
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.7
パーセンタイル: 95.77
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS スコアのソース: CVE-2026-78663
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:amazon-ecr-credential-helper-debuginfo, p-cpe:/a:amazon:linux:amazon-ecr-credential-helper
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/24
脆弱性公開日: 2026/10/8
参照情報
CVE: CVE-2026-78659, CVE-2026-78663, CVE-2026-78667, CVE-2026-94439, CVE-2026-94440, CVE-2026-94448, CVE-2026-97030
IAVB: 2026-B-0296-S