Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - LibJWT は、C JSON Web トークンライブラリです。3.0.0から3.3.2まで、libjwtは、algパラメーターを含まないRSA JWKをHS256/HS384/HS512トークンの検証キーとして受け入れます。これにより、OpenSSL バックエンドでは、HMAC 検証がゼロレングスの鍵で実行されるため、攻撃者は秘密鍵や RSA 秘密鍵を知らなくても有効な JWT を偽造できます。これはアルゴリズム混同認証バイパスです。これは、有効なJWK構文で実際の展開で一般的であるalgが省略されているJWKSからRSAキーをロードし、キッズルックアップコールバックなどで、JWTヘッダーから検証アルゴリズムを選択するアプリケーションに影響します。この脆弱性は 3.3.3 で修正されました。(CVE-2026-44699)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-44699

critical Nessus プラグイン ID 315008

バージョン 1.4