リモートの Oracle Linux 9 ホストに、ELSA-2024-2559アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - JWCrypto は、python 暗号化を使用して JWK、JWS、および JWE の仕様を実装しています。バージョン 1.5.6 より前では、攻撃者が悪意のある圧縮率の高い JWE トークンを渡すことで、サービス拒否攻撃を引き起こす可能性があります。サーバーがこのトークンを処理する際に、大量のメモリと処理時間を消費します。バージョン 1.5.6 により、トークンの最大長を制限することで、この脆弱性が修正されます。(CVE-2024-28102)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Oracle Linux 9 : python-jwcrypto (ELSA-2024-2559)

medium Nessus プラグイン ID 195123

バージョン 1.1