したがって、ALAS2023-2026-3273 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    containerd は、オープンソースのコンテナランタイムです。バージョン 1.7.36、 2.0.13、 2.2.9、 2.3.6、 2.4.1より前では、細工されたOCIインデックスグラフにより、PullImage中(コンテナの起動前)に非常に高いCPU/メモリ使用率が強制され、ContainerCreateingのストールが長くなり、サイズが大きいとノード/ランタイムが不安定になる可能性があります。バージョン 1.7.36、 2.0.13、 2.2.9、 2.3.6、および 2.4.1 は、この問題を修正します。(CVE-2026-53493)

    以前は、チャネルが確立されると、悪意のあるピアは接続全体のデッドロックを発生させる細工されたメッセージを送信する可能性がありました。現在は、すべての RFC 4254 チャネル メッセージを処理します。グローバルリクエストが明示的に処理されます。次に、他のすべてのメッセージをプロトコルエラーとして扱い、バッファリングやブロッキングの代わりに接続をティアダウンします。(CVE-2026-56855)

    「github.com/moby/sys/user」パッケージは、Unix スタイルのユーザーおよびグループデータベースファイルのエントリを解析および検索するための Go ユーティリティを提供します。0.4.1 より前のバージョンは、「/etc/passwd-」または「/etc/group」スタイルのファイルを解析する際に、エントリを十分に制限しません。これにより、特別に細工されたファイルを用意できる攻撃者が、過剰なメモリ消費を引き起こしたり、メモリ不足の状態により影響を受けるプロセスを終了させたりする可能性があります。この問題には、バージョン 0.4.1 でパッチが適用されています。回避策として、攻撃者がコントロールするユーザーまたはグループのデータベースファイルの解析を避けるか、解析前に信頼できない入力を検証して制限してください。
    (CVE-2026-61801)

    Trailer ヘッダーがクライアントによって送信されると、HTTP サーバーは内部的にヘッダー値を使用して、サーバー ハンドラーに渡される Request.Trailer マップにデータを設定します。Request.Trailer はマップであるため、各エントリではメモリオーバーヘッドが発生します。HTTP/2 サーバーの場合、悪意のあるクライアントが、多数のフィールドを宣言する Trailer ヘッダーを送信することでこれを悪用し、Server.MaxHeaderValueCount および Server.MaxHeaderBytes の制限をバイパスしながら、サーバーに不均衡な量のメモリを割り当てさせる可能性があります。この悪用は、1つのTCP接続で多数のリクエストを多重化することをサポートしておらず、Server.MaxHeaderBytesの計算方法が異なるHTTP/1サーバーには適用できません。Server.MaxHeaderValueCount および Server.MaxHeaderBytes 制限が、Trailer ヘッダーで宣言された trailer フィールドに適用されるようになりました。

    注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81857NOTE: 修正:
    https://github.com/golang/go/commit/cbb0fb8b51cba866018b8a0fb4b5458f16c5c80b (go1.27.2)注: 修正者:
    https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78659)

    以前は、マルチプレクサの chanList に登録されたチャネルは、確立されるまで使用できませんでした。悪意のあるピアが、チャネルの incomingRequests をフラッディングさせ、接続全体をデッドロックにすることができました。ここで、チャネルが使用可能になったときに設定される、アトミックの確立状態を追加します。その時まで、handlePacket はオープン確認/失敗以外のすべてのパケットを、接続をブロックしたりティアダウンしたりすることなくドロップします。
    (CVE-2026-78662)

    HTTP/2サーバーは、同じデータに対して接続レベルのフロー制御を2回払い戻しを行う可能性があります。1回目はクライアントがストリームをリセットするとき(ストリームの送信されたが未読部分のデータを返金する)とき、もう1回はリクエストハンドラーがバッファされたデータを読み取ったときに返金されます。悪意のあるクライアントがこれを悪用して、構成された接続レベルのフロー制御制限(MaxReceiveBufferPerConnection)をバイパスする可能性があります。バッファされるデータの合計は、同時ストリーム制限とストリームレベルのフロー制御によって制限されます。HTTP/2 サーバーは現在、リクエストハンドラーが完了するまで、リセットストリームのための接続レベルのフロー制御の払い戻しを待機します。

    注意: https://www.openwall.com/lists/oss-security/2026/10/08/9NOTE:
    https://github.com/golang/go/issues/81743NOTE: 修正:
    https://github.com/golang/go/commit/31dc9e2449e394439498142451627af52626d7c4 (go1.27.2)注: 修正者:
    https://github.com/golang/go/commit/6e049521882c944afc1e519a83971ec421dc2974 (go1.26.9)(CVE-2026-78663)

    OpenTelemetry-Go は OpenTelemetry の Go 実装です。バージョン 1.5.0 から 1.44.0 までは、sdk/trace。NewTracerProvider は、TracerProvider が作成した内部情報レベルの診断イベントを発行します。このイベントの MarshalLog 実装には、スパンプロセッサ、エクスポーター、およびクライアント構成が再帰的に含まれています。
    otel を呼び出すアプリケーション。したがって、OpenTelemetry 内部情報ロギングを有効にする SetLogger は、OTLP gRPC および HTTP コレクタ エンドポイント、OTLP HTTP Insecure フラグ、および完全な Zipkin コレクタ URL を記録できます。これらのログにアクセスできる個人またはシステムは、内部コレクターのトポロジーを学習し、Zipkin URLのユーザー情報またはクエリ文字列に埋め込まれた資格情報またはトークンを回復できます。デフォルトの OpenTelemetry ロガーはイベントを出力しないため、このパスは OTLP 認証ヘッダー、TLS キーマテリアル、スパンペイロードをログに記録しません。この問題はバージョン 1.45.0 で修正されています。(CVE-2026-81870)

    containerd は、オープンソースのコンテナランタイムです。CRIUが宛先のContainerConfigを強制する代わりにチェックポイントデータからプロセスセキュリティ状態を復元するため、 2.1.0 から 2.2.7 および 2.3.4まで、containerdのCRI CreateContainerチェックポイント復元は脆弱です。細工されたチェックポイントからコンテナを作成できる攻撃者が、復元された認証情報、機能、no_new_privs、seccomp 状態を提供する可能性があります。CRIステータスがリクエストされた構成を報告する間、復元されたプロセスは完全な機能を持ち、強制的なseccompフィルターなしでルートとして実行できます。CRI チェックポイント復元を使用しないシステムは影響を受けません。この問題はバージョン 2.2.7および 2.3.4で修正されています。(CVE-2026-95837)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2023 : containerd、containerd-stress (ALAS2023-2026-3273)

medium Nessus プラグイン ID 371911

バージョン 1.1