Amazon Linux 2: oci-add-hooks (ALASECS-2026-147)
critical Nessus プラグイン ID 371870
Language:
概要
リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。説明
リモートホストにインストールされているoci-add-hooksのバージョンは、0-0.12.20200504git325a340より前です。したがって、ALAS2ECS-2026-147 のアドバイザリに記載されている複数の脆弱性の影響を受けます。HTTP/2サーバーは、同じデータに対して接続レベルのフロー制御を2回払い戻しを行う可能性があります。1回目はクライアントがストリームをリセットするとき(ストリームの送信されたが未読部分のデータを返金する)とき、もう1回はリクエストハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用して、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。HTTP/2 サーバーは現在、リクエストハンドラーが完了するまで、リセットストリームのための接続レベルのフロー制御の払い戻しを待機します。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81743NOTE: 修正:
https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78663)
多数の小さな範囲を含むRangeヘッダーを解析するとき、FileServer(FS)、ServeContent、ServeFile(FS)が過剰な量のCPUを消費する可能性があります。
これらの関数は、200 を超える範囲を含む Range ヘッダーを無視するようになりました。この制限は、新しい httpservecontentmaxranges=GODEBUG 設定で制御されます。GODEBUG=httpservecontentmaxranges=0 に設定すると、この制限が無効になります。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81858NOTE: 修正:
https://github.com/golang/go/commit/ababc3cd873d8acce1777268aa7a817e6b672028 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/eb25b4e532c5a01f99ef860ec66743a8783f992b (go1.26.9)(CVE-2026-78667)
HTTP サーバーのハンドラーが 2xx 応答を HTTP/1 CONNECT リクエストに送信し、接続をハイジャックせずに返す場合、サーバーは接続からのリクエストの読み込みとサービスを不適切に継続していました。
HTTP/1 CONNECT への 2xx 応答は接続をトンネルに変換するため、サーバーは接続を継続して HTTP を含むものとして扱うべきではありません。この誤作動の影響は、ほとんどの場合、潜在的なリクエストスマグリングに限定されています。このとき、仲介プロキシは接続上のデータがトンネルされたものであるとみなし、サーバーはそれを HTTP であると見なします。HTTP/1 サーバーは、応答ステータスにかかわらず、CONNECT リクエストに応答した後、必ず接続を閉じるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81744NOTE: 修正:
https://github.com/golang/go/commit/e92229e24a387cc006a750af176b07a459ba71a1 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/087de1ff08ea620ac2f6ae26c939454cb793883a (go1.26.9)(CVE-2026-94439)
JavaScript テンプレートリテラルに連続した式が含まれている場合、新しい式の入力時にコンテキストトラッキング状態が適切にリセットされませんでした。現在では、テンプレートリテラル式エントリがコンテキスト変数を正しくリセットするようにしており、後続するすべての正規表現リテラルが正確に認識され、エスケープされます。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81821NOTE: 修正:
https://github.com/golang/go/commit/b26d150e6985f804826f4fcb1aa33aa81e700b52 (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/e59c03e695f2eaa26e308f756c83773afb034e47 (go1.26.9)(CVE-2026-94448)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「yum update oci-add-hooks」または「yum update --advisory ALAS2ECS-2026-147」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2/ALAS2ECS-2026-147.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-78663.html
https://explore.alas.aws.amazon.com/CVE-2026-78667.html
プラグインの詳細
深刻度: Critical
ID: 371870
ファイル名: al2_ALASECS-2026-147.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/25
更新日: 2026/10/25
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.7
パーセンタイル: 95.77
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 7
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:C
CVSS スコアのソース: CVE-2026-78663
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 7.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: cpe:/o:amazon:linux:2, p-cpe:/a:amazon:linux:oci-add-hooks-debuginfo, p-cpe:/a:amazon:linux:oci-add-hooks
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/24
脆弱性公開日: 2026/10/8
参照情報
CVE: CVE-2026-78663, CVE-2026-78667, CVE-2026-94439, CVE-2026-94448
IAVB: 2026-B-0296-S