Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Authlib は、OAuth および OpenID Connect サーバーを構築する Python ライブラリの一種です。バージョン 1.6.5より前では、Authlib の JWE zip=DEF パスが際限のない DEFLATE 展開を実行します。非常に小さい暗号文が、復号化で数十メガバイトまたは数百のメガバイトに拡大する可能性があるため、攻撃者は、復号可能なトークンを供給してメモリと CPU を枯渇させ、サービス拒否を引き起こすことができます。この問題には、バージョン 1.6.5 でパッチが適用されています。
    この問題の回避策としては、アプリケーション境界でインバウンド JWE に対する zip=DEF を拒否またはストリップすること、decompressobj().decompress(data, MAX_SIZE) を介して境界された展開ガードをフォークして追加すること、出力が安全な制限を超えたときにエラーを返すことが必要です。厳格な最大トークンサイズを強制し、大きすぎる入力ですぐに失敗しますレート制限と組み合わせて使用されます。CVE-2025-62706

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-62706

medium Nessus プラグイン ID 271720

バージョン 1.6