Amazon Linux 2 : python-jwcrypto, --advisory ALAS2-2026-3254 (ALAS-2026-3254)

medium Nessus プラグイン ID 311204

Language:

概要

リモートの Amazon Linux 2 ホストに、セキュリティ更新プログラムがありません。

説明

リモートホストにインストールされている python-jwcrypto のバージョンは、0.4.2-1 より前です。したがって、ALAS2-2026-3254 のアドバイザリに記載されている脆弱性の影響を受けます。

JWCrypto は、python 暗号化を使用して JWK、JWS、および JWE の仕様を実装しています。1.5.7以前は、認証されていない攻撃者がZIP圧縮で作成したJWEトークンを送信してサーバーメモリを消耗させることができます。既存の CVE-2024-28102 パッチでは入力トークンサイズを250KBに制限していますが、復原された出力サイズは検証されていません。認証されていない攻撃者は、メモリ制約のあるシステムでメモリの消耗を引き起こすことがあります。250KBの入力制限未満のトークンは約100MBまで解凍可能です。この脆弱性は 1.5.7 で修正されました。(CVE-2026-39373)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。