リモートの Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS ホストには USN-8916-1 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    YuSung Han氏は、HMAC検証を実行するときにPyJWTが特定のJWKキーを適切に検証しないことを発見しました。攻撃者がこの問題を利用して、認証トークンを偽造する可能性があります。この問題の影響を受けるのは、

    Ubuntu 26.04 LTS のみです。(CVE-2026-102266)

    Rohan Das氏は、キーセットをフェッチするときにPyJWTがリダイレクトを不適切に処理することを発見しました。リモートの攻撃者が、この問題を利用して、

    PyJWT に機密情報を漏洩させます。この問題の影響を受けるのは、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。(CVE-2026-102267)

    PyJWTが特定のPEM表現を不適切に認識することがわかりました。公開鍵を知っている攻撃者が、この問題を利用して、認証トークンを偽造する可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS、Ubuntu 20.04 LTS、Ubuntu 22.04 LTS、Ubuntu 24.04 LTS、Ubuntu 26.04 LTS のみです。(CVE-2026-102268)

    Nuno Lopes 氏は、HMAC 検証を実行する際に、PyJWT が DER 公開鍵を不適切に処理していることを発見しました。公開鍵を知っている攻撃者が、この問題を利用して、認証トークンを偽造する可能性があります。
    (CVE-2026-102271)

    PyJWT が、バイトオーダーマークのプレフィックスのある特定の JWK キーを適切に処理していないことが判明しました。公開鍵を知っている攻撃者が、この問題を利用して、認証トークンを偽造する可能性があります。
    (CVE-2026-102272)

    Charles Vosburgh氏は、HMAC検証を実行するときに、PyJWTが特定のJWKコンテナを不適切に処理することを発見しました。公開鍵を知っている攻撃者が、この問題を利用して、認証トークンを偽造する可能性があります。(CVE-2026-102273)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 16.04 LTS / 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 26.04 LTS : PyJWT の脆弱性 (USN-8916-1)

medium Nessus プラグイン ID 366020

バージョン 1.2