リモートホストにインストールされている amazon-ecr-credential-helper のバージョンは、0.12.0-5 より前です。したがって、ALAS2ECS-2026-146 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    HTTP/2サーバーは、同じデータに対して接続レベルのフロー制御を2回払い戻しを行う可能性があります。1回目はクライアントがストリームをリセットするとき(ストリームの送信されたが未読部分のデータを返金する)とき、もう1回はリクエストハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用して、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。HTTP/2 サーバーは現在、リクエストハンドラーが完了するまで、リセットストリームのための接続レベルのフロー制御の払い戻しを待機します。

    注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81743NOTE: 修正:
    https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 (go1.27.2)注: 修正者:
    https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78663)

    多数の小さな範囲を含むRangeヘッダーを解析するとき、FileServer(FS)、ServeContent、ServeFile(FS)が過剰な量のCPUを消費する可能性があります。

    これらの関数は、200 を超える範囲を含む Range ヘッダーを無視するようになりました。この制限は、新しい httpservecontentmaxranges=GODEBUG 設定で制御されます。GODEBUG=httpservecontentmaxranges=0 に設定すると、この制限が無効になります。

    注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81858NOTE: 修正:
    https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 (go1.27.2)注: 修正者:
    https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b (go1.26.9)(CVE-2026-78667)

    HTTP サーバーのハンドラーが 2xx 応答を HTTP/1 CONNECT リクエストに送信し、接続をハイジャックせずに返す場合、サーバーは接続からのリクエストの読み込みとサービスを不適切に継続していました。
    HTTP/1 CONNECT への 2xx 応答は接続をトンネルに変換するため、サーバーは接続を継続して HTTP を含むものとして扱うべきではありません。この誤作動の影響は、ほとんどの場合、潜在的なリクエストスマグリングに限定されています。このとき、仲介プロキシは接続上のデータがトンネルされたものであるとみなし、サーバーはそれを HTTP であると見なします。HTTP/1 サーバーは、応答ステータスにかかわらず、CONNECT リクエストに応答した後、必ず接続を閉じるようになりました。

    注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81744NOTE: 修正:
    https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 (go1.27.2)注: 修正者:
    https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a (go1.26.9)(CVE-2026-94439)

    JavaScript テンプレートリテラルに連続した式が含まれている場合、新しい式の入力時にコンテキストトラッキング状態が適切にリセットされませんでした。現在では、テンプレートリテラル式エントリがコンテキスト変数を正しくリセットするようにしており、後続するすべての正規表現リテラルが正確に認識され、エスケープされます。

    注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81821NOTE: 修正:
    https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 (go1.27.2)注: 修正者:
    https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 (go1.26.9)(CVE-2026-94448)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2 : amazon-ecr-credential-helper (ALASECS-2026-146)

critical Nessus プラグイン ID 371838

バージョン 1.1