リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには、USN-8823-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    PyJWKClientの使用時、PyJWTが特定のURIを不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、サーバーサイドリクエストフォージェリ(SSRF)を実行したり、秘密のローカルファイルを漏えいさせたりする可能性があります。この問題の影響を受けるのは、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、および Ubuntu 26.04 LTS のみです。(CVE-2026-48522)

    PyJWTがPyJWKキーでトークンをデコードするとき、暗号署名を不適切に検証することがわかりました。リモートの攻撃者がこの問題を利用して、署名認証をバイパスし、有効な JSON Web トークンを偽造する可能性があります。この問題の影響を受けるのは、Ubuntu 26.04 LTS のみです。(CVE-2026-48523)

    PyJWTがPyJWKClientで未知のキー識別子を不適切に処理することがわかりました。リモートの攻撃者がこの問題を悪用して、PyJWTに過剰なネットワークリクエストを行わせ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 26.04 LTS のみです。(CVE-2026-48524)

    PyJWT が、デタッチド JWS トークンの検証中にペイロードのデコーディングを不適切に処理していることが判明しました。
    リモートの攻撃者がこの問題を悪用して、PyJWTにリソースを過剰に消費させ、サービス拒否を引き起こす可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 26.04 LTS のみです。(CVE-2026-48525)

    HMACと非対称アルゴリズムの両方を有効にしてトークンをデコードするとき、PyJWTがJSON Webキーを不適切に検証することがわかりました。リモートの攻撃者がこの問題を利用して、有効なトークンを偽造し、認証バイパスを引き起こす可能性があります。(CVE-2026-48526)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 16.04 LTS/ 18.04 LTS/ 20.04 LTS/ 22.04 LTS/ 24.04 LTS/ 26.04 LTS:PyJWTの脆弱性(USN-8823-1)

high Nessus プラグイン ID 350973

バージョン 1.1