Amazon Linux 2023python3-jwt、python3-jwt+cryptoALAS2023-2026-1519]

high Nessus プラグイン ID 304621

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1519 のアドバイザリに記載されている脆弱性の影響を受けます。

PyJWT に検証ステップがないことが見つかりました。PyJWT は、RFC 7515 SS4.1.11 で定義されている crit重要度最高ヘッダーパラメーターを検証しません。JWS トークンに PyJWT が理解できない拡張をリストする crit 配列が含まれている場合、ライブラリはトークンを拒否せずに受け入れます。これは、RFC の MUST 要件に違反します。CVE-2026-32597

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

「dnf update python-jwt --releasever 2023.10.20260330」または「dnf update --advisory ALAS2023-2026-1519 --releasever 2023.10.20260330」を実行して、お使いのシステムを更新してください。