It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-1274 advisory.

    net/url: insufficient validation of bracketed IPv6 hostnames

    The Parse function permitted values other than IPv6 addresses to be included in square brackets within the     host component of a URL. RFC 3986 permits IPv6 addresses to be included within the host component,     enclosed within square brackets. For example: http://[::1]/. IPv4 addresses and hostnames must not     appear within square brackets. Parse did not enforce this requirement. (CVE-2025-47912)

    archive/tar: unbounded allocation when parsing GNU sparse map

    tar.Reader did not set a maximum size on the number of sparse region data blocks in GNU tar pax 1.0 sparse     files. A maliciously-crafted archive containing a large number of sparse regions could cause a Reader to     read an unbounded amount of data from the archive into memory. When reading from a compressed source, a     small compressed input could result in large allocations. (CVE-2025-58183)

    encoding/asn1: pre-allocating memory when parsing DER payload can cause memory exhaustion

    When parsing DER payloads, memories were being allocated prior to fully validating the payloads.This     permits an attacker to craft a big empty DER payload to cause memory exhaustion in functions such as     asn1.Unmarshal, x509.ParseCertificateRequest, and ocsp.ParseResponse. (CVE-2025-58185)

    net/http: lack of limit when parsing cookies can cause memory exhaustion

    Despite HTTP headers having a default limit of 1 MB, the number of cookies that can be parsed did not have     a limit.By sending a lot of very small cookies such as a=;, an attacker can make an HTTP server allocate     a large amount of structs, causing large memory consumption.

    net/http now limits the number of cookies accepted to 3000, which can be adjusted using the     httpcookiemaxnum GODEBUG option. (CVE-2025-58186)

    crypto/x509: quadratic complexity when checking name constraints

    Due to the design of the name constraint checking algorithm, the processing timeof some inputs scales non-     linearly with respect to the size of the certificate.

    This affects programs which validate arbitrary certificate chains. (CVE-2025-58187)

    crypto/x509: panic when validating certificates with DSA public keys

    Validating certificate chains which contain DSA public keys can cause programsto panic, due to a interface     cast that assumes they implement the Equal method.

    This affects programs which validate arbitrary certificate chains. (CVE-2025-58188)

    crypto/tls: ALPN negotiation errors can contain arbitrary text

    The crypto/tls conn.Handshake method returns an error on the server-side when ALPN negotation fails which     can contain arbitrary attacker controlled information provided by the client-side of the connection which     is not escaped.

    This affects programs which log these errors without any additional form of sanitization, and may allow     injection of attacker controlled information into logs. (CVE-2025-58189)

    encoding/pem: quadratic complexity when parsing some invalid inputs

    Due to the design of the PEM parsing function, the processing time for someinputs scales non-linearly with     respect to the size of the input.

    This affects programs which parse untrusted PEM inputs. (CVE-2025-61723)

    net/textproto: excessive CPU consumption in Reader.ReadResponse

    The Reader.ReadResponse function constructed a response string throughrepeated string concatenation of     lines. When the number of lines in a response is large,this could cause excessive CPU consumption.
    (CVE-2025-61724)

    net/mail: excessive CPU consumption in ParseAddress

    The ParseAddress function constructed domain-literal address components through repeated string     concatenation. When parsing large domain-literal components, this could cause excessive CPU consumption.
    (CVE-2025-61725)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

It is, therefore, affected by multiple vulnerabilities as referenced in the ALAS2023-2025-1286 advisory.

    Placeholder CVE. Details forthcoming (CVE-2025-31133)

    net/url: insufficient validation of bracketed IPv6 hostnames

    The Parse function permitted values other than IPv6 addresses to be included in square brackets within the     host component of a URL. RFC 3986 permits IPv6 addresses to be included within the host component,     enclosed within square brackets. For example: http://[::1]/. IPv4 addresses and hostnames must not     appear within square brackets. Parse did not enforce this requirement. (CVE-2025-47912)

    Placeholder CVE. Details forthcoming (CVE-2025-52565)

    Placeholder CVE. Details forthcoming (CVE-2025-52881)

    archive/tar: unbounded allocation when parsing GNU sparse map

    tar.Reader did not set a maximum size on the number of sparse region data blocks in GNU tar pax 1.0 sparse     files. A maliciously-crafted archive containing a large number of sparse regions could cause a Reader to     read an unbounded amount of data from the archive into memory. When reading from a compressed source, a     small compressed input could result in large allocations. (CVE-2025-58183)

    encoding/asn1: pre-allocating memory when parsing DER payload can cause memory exhaustion

    When parsing DER payloads, memories were being allocated prior to fully validating the payloads.This     permits an attacker to craft a big empty DER payload to cause memory exhaustion in functions such as     asn1.Unmarshal, x509.ParseCertificateRequest, and ocsp.ParseResponse. (CVE-2025-58185)

    net/http: lack of limit when parsing cookies can cause memory exhaustion

    Despite HTTP headers having a default limit of 1 MB, the number of cookies that can be parsed did not have     a limit.By sending a lot of very small cookies such as a=;, an attacker can make an HTTP server allocate     a large amount of structs, causing large memory consumption.

    net/http now limits the number of cookies accepted to 3000, which can be adjusted using the     httpcookiemaxnum GODEBUG option. (CVE-2025-58186)

    crypto/x509: quadratic complexity when checking name constraints

    Due to the design of the name constraint checking algorithm, the processing timeof some inputs scales non-     linearly with respect to the size of the certificate.

    This affects programs which validate arbitrary certificate chains. (CVE-2025-58187)

    crypto/x509: panic when validating certificates with DSA public keys

    Validating certificate chains which contain DSA public keys can cause programsto panic, due to a interface     cast that assumes they implement the Equal method.

    This affects programs which validate arbitrary certificate chains. (CVE-2025-58188)

    crypto/tls: ALPN negotiation errors can contain arbitrary text

    The crypto/tls conn.Handshake method returns an error on the server-side when ALPN negotation fails which     can contain arbitrary attacker controlled information provided by the client-side of the connection which     is not escaped.

    This affects programs which log these errors without any additional form of sanitization, and may allow     injection of attacker controlled information into logs. (CVE-2025-58189)

    encoding/pem: quadratic complexity when parsing some invalid inputs

    Due to the design of the PEM parsing function, the processing time for someinputs scales non-linearly with     respect to the size of the input.

    This affects programs which parse untrusted PEM inputs. (CVE-2025-61723)

    net/textproto: excessive CPU consumption in Reader.ReadResponse

    The Reader.ReadResponse function constructed a response string throughrepeated string concatenation of     lines. When the number of lines in a response is large,this could cause excessive CPU consumption.
    (CVE-2025-61724)

    net/mail: excessive CPU consumption in ParseAddress

    The ParseAddress function constructed domain-literal address components through repeated string     concatenation. When parsing large domain-literal components, this could cause excessive CPU consumption.
    (CVE-2025-61725)

Tenable has extracted the preceding description block directly from the tested product security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

远程主机上运行的 Golang 版本为低于 1.24.8] 的 1.24.x 、低于 1.25.x 的 1.25.2。因此如 qZN5nc-mBgAJ 公告所述受到多个漏洞的影响。

  - Parse 函数允许 URL 的主机组件中的方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如“http://[::1]/”。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

  - tar.Reader 未为 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

  - 验证包含 DSA 公钥的证书链可造成程序错误这是由假设这些证书链实现 Equal 方法的接口转换所导致。这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 rclone 版本低于 1.55.1-1。因此，该软件受到 ALAS2-2025-3071 公告中提及的多个漏洞影响。

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1277 公告中提及的多个漏洞影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 soci-snapshotter 版本低于 0.11.1-1。因此，该软件受到 ALAS2DOCKER-2025-080 公告中提及的多个漏洞影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1278 公告中提及的多个漏洞影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1286 公告中提及的多个漏洞影响。

    占位符 CVE。详情即将发布 (CVE-2025-31133)

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    占位符 CVE。详情即将发布 (CVE-2025-52565)

    占位符 CVE。详情即将发布 (CVE-2025-52881)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 golang 版本低于 1.24.8-1。因此，该软件受到 ALAS2-2025-3042 公告中提及的多个漏洞影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75678NOTE:
    https://github.com/golang/go/commit/9fd3ac8a10272afd90312fef5d379de7d688a58e (go1.25.2)注意
    https://github.com/golang/go/commit/d6d2f7bf76718f1db05461cd912ae5e30d7b77ea (go1.24.8) (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75677NOTE:
    https://github.com/golang/go/commit/2612dcfd3cb6dd73c76e14a24fe1a68e2708e4e3 (go1.25.2)注意
    https://github.com/golang/go/commit/613e746327381d820759ebea6ce722720b343556 (go1.24.8) (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75671NOTE:
    https://github.com/golang/go/commit/e0f655bf3f96410f90756f49532bc6a1851855ca (go1.25.2)注意
    https://github.com/golang/go/commit/5c3d61c886f7ecfce9a6d6d3c97e6d5a8afb17d1 (go1.24.8) (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75672NOTE:
    https://github.com/golang/go/commit/100c5a66802b5a895b1d0e5ed3b7918f899c4833 (go1.25.2)注意
    https://github.com/golang/go/commit/c6b04dd33b0215f5deb83724661921842bf67607 (go1.24.8) (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75681NOTE:
    https://github.com/golang/go/commit/f0c69db15aae2eb10bddd8b6745dff5c2932e8f5 (go1.25.2)注意
    https://github.com/golang/go/commit/f334417e71f8b078ad64035bddb6df7f8910da6c (go1.24.8) (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75675NOTE:
    https://github.com/golang/go/commit/930ce220d052d632f0d84df5850c812a77b70175 (go1.25.2)注意
    https://github.com/golang/go/commit/f9f198ab05e3282cbf6b13251d47d9141981e401 (go1.24.8) (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75652NOTE:
    https://github.com/golang/go/commit/205d0865958a6d2342939f62dfeaf47508101976 (go1.25.2)注意
    https://github.com/golang/go/commit/2e1e356e33b9c792a9643749a7626a1789197bb9 (go1.24.8) (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75676NOTE:
    https://github.com/golang/go/commit/90f72bd5001d0278949fab0b7a40f7d8c712979b (go1.25.2)注意
    https://github.com/golang/go/commit/74d4d836b91318a8764b94bc2b4b66ff599eb5f2 (go1.24.8) (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75716NOTE:
    https://github.com/golang/go/commit/5d7a787aa2b486f77537eeaed9c38c940a7182b8 (go1.25.2)注意
    https://github.com/golang/go/commit/a402f4ad285514f5f3db90516d72047d591b307a (go1.24.8) (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。

    注意：https://groups.google.com/g/golang-announce/c/4Emdl2iQ_bI/m/qZN5nc-mBgAJNOTE:
    https://github.com/golang/go/issues/75680NOTE:
    https://github.com/golang/go/commit/6a057327cf9a405e6388593dd4aedc0d0da77092 (go1.25.2)注意
    https://github.com/golang/go/commit/bc6981fd74024098185a23ba3a83a81ed68a06c9 (go1.24.8) (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 docker 版本低于 25.0.13-1。因此，该 docker 受到 ALAS2NITRO-ENCLAVES-2025-076 公告中提及的多个漏洞的影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1279 公告中提及的多个漏洞影响。

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该软件受到 ALAS2023-2025-1274 公告中提及的多个漏洞影响。

    net/url对带括号的 IPv6 主机名验证不充分

    URL 的主机组件中Parse 函数允许方括号中包含 IPv6 地址以外的值。RFC 3986 允许将 IPv6 地址包含在 host 组件内并括在方括号中。例如http://[::1]/。方括号内不得出现 IPv4 地址和主机名。Parse 未强制执行此要求。 (CVE-2025-47912)

    archive/tar解析 GNU 稀疏映射时发生不受限制的分配

    tar.Reader 未针对 GNU tar pax 1.0 稀疏文件中的稀疏区域数据块数量设置最大大小。包含大量稀疏区域的恶意构建的存档可导致读取器将无限量的数据从存档读取到内存中。从压缩源读取时较小的压缩输入可导致大型分配。 (CVE-2025-58183)

    encoding/asn1解析 DER 负载时预分配内存可导致内存耗尽

    解析 DER 负载时在完全验证负载之前分配内存。这允许攻击者特制大型空 DER 负载以造成 asn1.Unmarshal、x509.ParseCertificateRequest 和 ocsp.ParseResponse 等函数耗尽内存。 (CVE-2025-58185)

    net/http解析 cookie 时缺少限制可导致内存耗尽

    尽管 HTTP 标头的默认限制为 1 MB但可解析的 Cookie 数量却没有限制。通过发送大量非常小的 Cookie 如 a=;攻击者可使 HTTP 服务器分配大量struct，造成大量内存消耗。

    net/http 现在将接受的 Cookie 数量限制为 3000这可使用 httpcookiemaxnum GODEBUG 选项进行调整。 (CVE-2025-58186)

    crypto/x509检查名称限制时的二次方复杂性

    由于名称限制检查算法的设计原因某些输入的处理时间相对于证书的大小呈线性关系。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58187)

    crypto/x509使用 DSA 公钥验证证书时的错误

    验证包含 DSA 公钥的证书链可造成程序错误这是由假设它们实现 Equal 方法的界面转换所导致。

    这会影响用于验证任意证书链的程序。 (CVE-2025-58188)

    crypto/tlsALPN 协商错误可包含任意文本

    当 ALPN 协商失败时crypto/tls conn.Handshake 方法会在服务器端返回一个错误可能包含由连接的客户端提供的未转义的任意攻击者控制信息。

    这会影响记录这些错误而未经任何其他形式的审查的程序并且可能允许将攻击者控制的信息注入日志。 (CVE-2025-58189)

    编码/pem解析某些无效输入时的二次方复杂性

    由于 PEM 解析功能的设计某些输入的处理时间相对于输入大小呈线性关系。

    这会影响解析不受信任的 PEM 输入的程序。 (CVE-2025-61723)

    net/textprotoReader.ReadResponse 中 CPU 消耗过多

    Reader.ReadResponse 函数通过行的重复字符串连接构造响应字符串。当响应中的行数很大时这可能导致 CPU 消耗过多。
    (CVE-2025-61724)

    net/mailParseAddress 中 CPU 消耗过多

    ParseAddress 函数通过重复的字符串连接构造域文字地址组件。当解析大型域文字组件时此问题可导致过量 CPU 消耗。
    (CVE-2025-61725)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	Name	Product	Family	Published	Updated	Severity
274694	Amazon Linux 2023 : docker (ALAS2023-2025-1274)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	medium
274691	Amazon Linux 2023 : runc (ALAS2023-2025-1286)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	high
271201	Golang 1.24.x < 1.24.8 / 1.25.x < 1.25.2 多种漏洞 (qZN5nc-mBgAJ)	Nessus	Misc.	10/22/2025	10/24/2025	high
274656	Amazon Linux 2rclone、 --advisory ALAS2-2025-3071 (ALAS-2025-3071)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	high
274664	Amazon Linux 2023：soci-snapshotter (ALAS2023-2025-1277)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	medium
274669	Amazon Linux 2soci-snapshotter、 --advisory ALAS2DOCKER-2025-080 (ALASDOCKER-2025-080)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	medium
274690	Amazon Linux 2023：nerdctl (ALAS2023-2025-1278)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	medium
274691	Amazon Linux 2023：runc (ALAS2023-2025-1286)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	high
271755	Amazon Linux 2golang、 --advisory ALAS2-2025-3042 (ALAS-2025-3042)	Nessus	Amazon Linux Local Security Checks	10/28/2025	10/28/2025	high
274642	Amazon Linux 2 :docker、 --advisory ALAS2NITRO-ENCLAVES-2025-076 (ALASNITRO-ENCLAVES-2025-076)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	medium
274692	Amazon Linux 2023captree、libcap、libcap-devel (ALAS2023-2025-1279)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	high
274694	Amazon Linux 2023：docker (ALAS2023-2025-1274)	Nessus	Amazon Linux Local Security Checks	11/11/2025	11/11/2025	medium

Detections

Analytics

Plugins Search

medium

high

high

high

medium

medium

medium

high

high

medium

high

medium