Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ruby-jwt は、RFC 7519 OAuth JSON Web トークン標準の Ruby 実装です。2.10.3と3.2.0より前では、OpenSSL::HMAC.digest('SHA256', '', payload)が空のキーで有効なダイジェストを返し、HMACアルゴリズムに空のキーの前提条件が存在しないため、JWT.decode(token, '', true, algorithm: 'HS256')は攻撃者が偽造したトークンを受け入れます。キーファインダーのブロックまたはkey_finderが、同じパスに到達します。
    引数が空の文字列、nil、または不明なキーの nil を含む配列を返すため、JWT.decode および JWT::EncodedToken#verify_signature! による HS256、 HS384、 HS512 の検証に影響します。この問題はバージョン 2.10.3および 3.2.0で修正されています。(CVE-2026-45363)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-45363

critical Nessus プラグイン ID 327193

バージョン 1.2