Amazon Linux 2 : python-jwcrypto (ALAS-2025-2763)

medium Nessus プラグイン ID 216811

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている python-jwcrypto のバージョンは、0.4.2-1 より前です。したがって、ALAS2-2025-2763 のアドバイザリに記載されている脆弱性の影響を受けます。

JWCrypto は、python 暗号化を使用して JWK、JWS、および JWE の仕様を実装しています。バージョン 1.5.6 より前では、攻撃者が悪意のある圧縮率の高い JWE トークンを渡すことで、サービス拒否攻撃を引き起こす可能性があります。サーバーがこのトークンを処理する際に、大量のメモリと処理時間を消費します。バージョン 1.5.6 により、トークンの最大長を制限することで、この脆弱性が修正されます。

注意: https://github.com/latchset/jwcrypto/security/advisories/GHSA-j857-7rvv-vj97NOTE:
https://github.com/latchset/jwcrypto/commit/90477a3b6e73da69740e00b8161f53fea19b831f (v1.5.6) (CVE-2024-28102)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。