リモートの SUSE Linux SLES15 / SLES_SAP15 ホストには、SUSE-SU-2022:2403-1 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - PyJWT は RFC 7519 の Python 実装です。PyJWT は、複数の異なる JWT 署名アルゴリズムをサポートしています。
    JWT では、JWT トークンを送信する攻撃者が、使用する署名アルゴリズムを選択できます。PyJWT ライブラリでは、アプリケーションがサポートされているアルゴリズムを選択する必要があります。アプリケーションは、「jwt.algorithms.get_default_algorithms()」を指定してすべてのアルゴリズムのサポートを取得することも、単一のアルゴリズムを指定することもできます。「algorithms=jwt.algorithms.get_default_algorithms()」を使用する必要があるため、問題はそれほど大きくありません。ユーザーは、v2.4.0 にアップグレードして、この問題のパッチを入手する必要があります。回避策として、デコード時に受け入れられ、予期されるアルゴリズムを常に明示的にしてください。(CVE-2022-29217)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

検出

SUSE SLES15 セキュリティ更新プログラム : python-PyJWT(SUSE-SU-2022:2403-1)

high Nessus プラグイン ID 163245

バージョン 1.5