Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Authlib は、OAuth および OpenID Connect サーバーを構築する Python ライブラリの一種です。バージョン 1.6.9以前は、Authlib PythonライブラリでOpenID Connect(OIDC)IDトークンの検証に関するライブラリレベルの脆弱性が特定されていました。具体的には、at_hash(アクセストークンハッシュ)およびc_hash(認証コードハッシュ)請求の検証を担当する内部ハッシュ検証ロジック(_verify_hash)は、サポートされていない、または未知の暗号アルゴリズムに遭遇した際にフェイルオープンの挙動を示します。この欠陥により、攻撃者は意図的に認識されないアルゴリズムヘッダーパラメータを偽造IDトークンに提供することで、必須の整合性保護を回避できます。ライブラリはサポートされていない状態を傍受し、静かにTrue(検証通過)を返しますが、これは本質的に基本的な暗号設計原則やOIDCの直接仕様に違反しています。この問題には、バージョン 1.6.9 でパッチが適用されています。(CVE-2026-28498)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-28498

high Nessus プラグイン ID 302537

バージョン 1.10