Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - PyJWTは、PythonのJSON Webトークン実装です。2.13.0より前に、PyJWKClientはuri引数をurllib.request.urlopen()に直接渡します。urlopen()は、HTTPHandler、HTTPSHandler、FTPHandler、FileHandler、DataHandlerを登録するPython stdlibのデフォルトのOpenerDirectorを使用します。現在、PyJWKClientがフェッチするスキームを制限するドキュメント化されたオプションはありません。アプリケーションのjku URLインジェストパスが攻撃者の影響を受けるURL(ヘッダー、構成ファイル、OAuthフローパラメーターなどJWT受け入れる場合、攻撃者は file://(ローカルファイルシステムのSSRF)を介してPyJWKClientに任意のローカルファイルを読み込ませたり、PyJWKClientにFTP/data-URIフェッチ(より広いSSRFサーフェス)を試行させたり、PyJWTが有効と検証するトークンを偽造したりする可能性があります。このライブラリは、非 HTTP(S) URI のコンテンツを攻撃者に直接返しません。元のレポートで説明されている、チェーンされたプラント、つまり JWKS からトークンを偽造するシナリオでは、この修正では対処しない追加のアプリケーション層の欠陥(ファイルシステムパスに対する攻撃者の書き込みアクセス、信頼できない JKU の派生)が必要です。この脆弱性は 2.13.0 で修正されました。(CVE-2026-48522)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-48522

medium Nessus プラグイン ID 317716

バージョン 1.4