Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Authlib は、OAuth および OpenID Connect サーバーを構築する Python ライブラリの一種です。バージョン 1.6.9より前のバージョンでは、authlib の JWS 実装にある JWK ヘッダーインジェクションの脆弱性により、認証されていない攻撃者が、署名認証にパスする任意の JWT トークンを偽造することが可能です。key=None が JWS の逆シリアル化関数に渡されると、ライブラリは攻撃者が制御する JWT jwk ヘッダーフィールドに埋め込まれた暗号化キーを抽出して使用します。攻撃者は、自分自身の秘密鍵でトークンに署名し、一致する公開鍵をヘッダーに埋め込んで、偽造されたトークンを暗号的に有効なものとしてサーバーに受け入れることで、認証と承認を完全にバイパスできます。この問題には、バージョン 1.6.9 でパッチが適用されています。(CVE-2026-27962)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-27962

critical Nessus プラグイン ID 302533

バージョン 1.8