Linux Distros のパッチ未適用の脆弱性: CVE-2026-53939
critical Nessus プラグイン ID 344528
Language:
概要
Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。説明
Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。- OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。0.6.1 から 0.6.2.5 までのバージョンでは、cjose が AES-CBC-HMAC コンテンツ暗号化アルゴリズム(「A128CBC-HS256」、「A192CBC-HS384」、または「A256CBC-HS512」)と、新しいコンテンツ暗号化キー(CEK)を生成する何らかの鍵管理アルゴリズムを使用して JWE を暗号化する際に、CEK はランダムに生成されるのではなく、すべてゼロバイトになります。このため、結果として生成される JWE は、固定された、公知の鍵で暗号化および認証されます。このため、JWE を取得した者は誰でも、平文を復元し、コンテンツを偽造または改ざんすることができます。これは、バージョン 0.6.2.6 で、「RAND_bytes」から CEK を生成する「_cjose_jwe_set_cek_aes_cbc()」によって修正されています。回帰テストでは、「encrypted_key」が各 AES-CBC-HMAC バリアントの 2 つの暗号化間で異なることをアサートします。アップグレードまでは、cjose で暗号化されたデータの場合、3 つのオプションが利用可能です。AES-CBC-HMAC「enc」の代わりに AES-GCM「enc」(「A128GCM」/「A192GCM」/「A256GCM」)を使用するか、呼び出し元指定の CEK を指定して「alg=dir」を使用するか、影響を受けるアルゴリズムペアで JWE 暗号化に cjose を使用しないようにします。これらは、新しい暗号文のみに対する緩和策です。すでにゼロキーで暗号化されているデータは侵害されたままであるため、再暗号化する必要があります (含まれていた機密情報もローテーション)。(CVE-2026-53939)
Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。
ソリューション
現時点で既知の解決策はありません。参考資料
プラグインの詳細
深刻度: Critical
ID: 344528
ファイル名: unpatched_CVE_2026_53939.nasl
バージョン: 1.2
タイプ: Local
エージェント: unix
ファミリー: Misc.
公開日: 2026/9/10
更新日: 2026/9/11
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 4.3
パーセンタイル: 53.41
CVSS v2
リスクファクター: High
基本値: 9.4
現状値: 8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS スコアのソース: CVE-2026-53939
CVSS v3
リスクファクター: Critical
基本値: 9.1
現状値: 8.3
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
現状ベクトル: CVSS:3.0/E:U/RL:U/RC:C
脆弱性情報
CPE: cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:cjose
必要な KB アイテム: Host/local_checks_enabled, Host/cpu, global_settings/vendor_unpatched, Host/OS/identifier
エクスプロイトの容易さ: No known exploits are available
脆弱性公開日: 2026/9/8
参照情報
CVE: CVE-2026-53939