Amazon Linux 2023 : python3-jwcrypto(ALAS2023-2026-1590)

medium Nessus プラグイン ID 311304

Language:

概要

リモートの Amazon Linux 2023 ホストに、セキュリティ更新プログラムがありません。

説明

したがって、ALAS2023-2026-1590 のアドバイザリに記載されている脆弱性の影響を受けます。

JWCrypto は、python 暗号化を使用して JWK、JWS、および JWE の仕様を実装しています。1.5.7以前は、認証されていない攻撃者がZIP圧縮で作成したJWEトークンを送信してサーバーメモリを消耗させることができます。既存の CVE-2024-28102 パッチでは入力トークンサイズを250KBに制限していますが、復原された出力サイズは検証されていません。認証されていない攻撃者は、メモリ制約のあるシステムでメモリの消耗を引き起こすことがあります。250KBの入力制限未満のトークンは約100MBまで解凍可能です。この脆弱性は 1.5.7 で修正されました。(CVE-2026-39373)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

システムを更新するには「dnf update python-jwcrypto --releasever 2023.11.20260427」または「dnf update --advisory ALAS2023-2026-1590 --releasever 2023.11.20260427」を実行してください。