Amazon Linux 2023 : runfinch-finch (ALAS2023-2026-3264)
high Nessus プラグイン ID 371901
Language:
概要
リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。説明
したがって、ALAS2023-2026-3264 のアドバイザリに記載されている複数の脆弱性の影響を受けます。Trailer ヘッダーがクライアントによって送信されると、HTTP サーバーは内部的にヘッダー値を使用して、サーバー ハンドラーに渡される Request.Trailer マップにデータを設定します。Request.Trailer はマップであるため、各エントリではメモリオーバーヘッドが発生します。HTTP/2 サーバーの場合、悪意のあるクライアントが、多数のフィールドを宣言する Trailer ヘッダーを送信することでこれを悪用し、Server.MaxHeaderValueCount および Server.MaxHeaderBytes の制限をバイパスしながら、サーバーに不均衡な量のメモリを割り当てさせる可能性があります。この悪用は、1つのTCP接続で多数のリクエストを多重化することをサポートしておらず、Server.MaxHeaderBytesの計算方法が異なるHTTP/1サーバーには適用できません。Server.MaxHeaderValueCount および Server.MaxHeaderBytes 制限が、Trailer ヘッダーで宣言された trailer フィールドに適用されるようになりました。
注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
https://github.com/golang/go/issues/81857NOTE: 修正:
https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b (go1.27.2)注: 修正者:
https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78659)
BuildKit デーモンが --cdi-disabled で起動されると、ビルドが CDI デバイスを使用しようとする際に、デーモンパニックが発生する可能性があります。これは、悪意を持って、または偶発的に発生する可能性があります。(CVE-2026-93316)
レジストリまたはOCIレイアウトのBLOBソースを制御する認証されていない攻撃者が、要求されたダイジェストと一致しないBLOBコンテンツを提供する可能性があります。出来上がったスナップショットは、そのダイジェストでキャッシュされ、その後の被害者のビルドで再利用されるため、ビルド入力の整合性が損なわれる可能性があります。(CVE-2026-93317)
悪意のある画像が、異なるレイヤーコンテンツを含みながら、別の画像からの DiffID をアドバタイズする可能性があります。影響を受けるバージョンでは、BuildKit がアドバタイズされた DiffID を使用して、実際のレイヤーコンテンツと一致することを検証せずにキャッシュとスナップショットの ID を導出する可能性があります。
共有キャッシュまたは永続キャッシュを持つ BuildKit デーモンがこのような悪意のあるイメージを最初に処理する場合、被害者のイメージを使用する後のビルドでは、攻撃者が制御するレイヤーのコンテンツをベースイメージとしてマウントする可能性があります。これにより、悪意のあるイメージからのコードが、例えば /bin/sh などのよく実行されるパスを置き換えることによって、被害者のビルドで実行される可能性があります。攻撃者が制御するコードは、ビルドにマウントされたビルドシークレットを読み取る、他のビルドリソースにアクセスする、出力アーティファクトを変更する、またはビルドをハングさせる可能性があります。
この問題は、通常のスナップショット作成者と、stargz などの遅延引きスナップショット作成者の両方に影響を与えます。(CVE-2026-93318)
悪意のある外部 BuildKit フロントエンドが、内部 API を使用するリクエストを送信する可能性があります。これにより、BuildKit デーモンをパニックにさせるデータ競合の条件を作り出す可能性があります。(CVE-2026-93319)
BuildKit が騙されて、通常のファイルが期待される場合に、特別なファイル inode を用いてファイルアクションを実行する可能性があります。特別なファイルにより、操作がブロックされたり、root フルワーカーで、意図されないホストデバイスへのアクセスが可能になることがあります。
(CVE-2026-93320)
悪意のあるフロントエンドが LLB 定義を送信し、buildkitdto にパニックを引き起こして終了させ、そのデーモンで実行されているすべてのビルドを中断させる可能性があります。(CVE-2026-93321)
悪意のあるフロントエンドが LLB 定義を送信し、buildkitdto にパニックを引き起こして終了させ、そのデーモンで実行されているすべてのビルドを中断させる可能性があります。(CVE-2026-93322)
Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
「dnf update runfinch-finch --releasever 2023.12.20261026」または「dnf update --advisory ALAS2023-2026-3264 --releasever 2023.12.20261026」を実行してシステムを更新してください。参考資料
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3264.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-78659.html
https://explore.alas.aws.amazon.com/CVE-2026-93316.html
https://explore.alas.aws.amazon.com/CVE-2026-93317.html
https://explore.alas.aws.amazon.com/CVE-2026-93318.html
https://explore.alas.aws.amazon.com/CVE-2026-93319.html
https://explore.alas.aws.amazon.com/CVE-2026-93320.html
プラグインの詳細
深刻度: High
ID: 371901
ファイル名: al2023_ALAS2023-2026-3264.nasl
バージョン: 1.1
タイプ: Local
エージェント: unix
公開日: 2026/10/25
更新日: 2026/10/25
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.76
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2026-78659
CVSS v3
リスクファクター: High
基本値: 7.5
現状値: 6.5
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 7.5
Threat Score: 4.6
Threat Vector: CVSS:4.0/E:U
Vector: CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:A/VC:H/VI:H/VA:L/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2026-93318
脆弱性情報
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:runfinch-finch
必要な KB アイテム: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2026/10/24
脆弱性公開日: 2026/10/5
参照情報
CVE: CVE-2026-78659, CVE-2026-93316, CVE-2026-93317, CVE-2026-93318, CVE-2026-93319, CVE-2026-93320, CVE-2026-93321, CVE-2026-93322
IAVB: 2026-B-0296-S