したがって、ALAS2023-2026-3298 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    PyJWT に欠陥が見つかりました。リモートの攻撃者が、未知のキー識別子を含むトークンを送信することで、アウトバウンドリクエスト増幅を通じてサービス拒否(DoS)を引き起こす可能性があります。ライブラリは、署名キーをフェッチするときにルックアップの失敗をキャッシュしたり、最小更新間隔を強制したりしないため、無効なキー識別子ごとに、リモート JSON Web キーセット (JWKS) サーバーに新しいリクエストを強制します。これにより、攻撃者はネットワークリソースを枯渇させ、設定された認証エンドポイントを圧倒する可能性があります。(CVE-2026-101917)

    PyJWT に欠陥が見つかりました。署名認証の前に JSON Web トークン(JWT)を処理する場合、パーサーは深くネスト化したデータを適切に処理できず、処理されない再帰エラーにつながります。リモートの認証されていない攻撃者はこの欠陥を悪用して、特別に細工されたトークンを送信することで、アプリケーションに予期しないサーバー例外を引き起こし、サービス拒否(DoS)を引き起こす可能性があります。
    (CVE-2026-101918)

    pyjwt に欠陥が見つかりました。リモートの攻撃者が、空の鍵でトークンに署名することで、認証トークンを偽造し、セキュリティコントロールをバイパスする可能性があります。空のハッシュベースのメッセージ認証コード(HMAC)キーを含む JSON Web Key(JWK)セットに対してトークンを検証するときに、ライブラリがキー長の検証を強制できません。これにより、攻撃者が任意のクレームを持つ有効なトークンを生成し、承認されていないアクセス権を取得する可能性があります。(CVE-2026-102266)

    PyJWTは、JSON Webトークン標準のPython実装です。2.14.0より前は、リダイレクト先がJWKS信頼境界に対して再検証されないため、PyJWT PyJWKClientは影響を受けます。これは、設定された信頼できるJWKSエンドポイントが攻撃者の影響を受けるリダイレクトを返すときに発生します。その結果、PyJWKClientはリダイレクトに従い、リダイレクトされた応答をキーマテリアルとして消費します。この結果、転送された認証情報が漏洩したり、検証キーが置き換えられたりする可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102267)

    PyJWTは、JSON Webトークン標準のPython実装です。2.14.0より前では、暗号化ローダーによって受け入れられたすべてのPEM表現をis_pem_formatが認識しないため、jwt/utils.py でのis_pem_formatは影響を受けます。これは、アプリケーションがHMACと非対称のアルゴリズムを混合し、変更された公開鍵PEMを生のキーバイトとして供給する場合に発生します。その結果、HMACAlgorithm.prepare_keyは、認識されない非対称公開鍵をHMACの秘密として扱います。その結果、公開鍵を知っている攻撃者が、認証されたHMACトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102268)

    PyJWTは、JSON Webトークン標準のPython実装です。2.4.0から2.14.0まで、PyJWT HMACAlgorithm.prepare_keyは影響を受けます。これは、非対称キーガードがDERエンコーディングから欠落したテキストマーカーに依存しているためです。これは、アプリケーションが HMAC と非対称アルゴリズムを混合し、DER 公開鍵を共有検証鍵として提供した場合に発生します。その結果、PyJWTはパブリックDERバイトをHMACシークレットとして使用します。その結果、公開鍵を知っている攻撃者が、認証されたHMACトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102271)

    PyJWTは、JSON Webトークン標準のPython実装です。2.13.0から2.14.0までは、raw-JWK検出器がJSONをチェックする前に、受け入れられたUnicodeバイトオーダーのマークを正規化しないため、jwt/algorithms.py のHMACAlgorithm.prepare_keyが影響を受けます。これは、パブリック JWK に UTF-8 BOM のプレフィックスが付けられ、混合アルゴリズムの検証パスで使用されている場合に発生します。その結果、パブリック JWK は非対称鍵検出をバイパスし、HMAC シークレットになります。その結果、公開鍵を知っている攻撃者が、認証されたトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102272)

    PyJWTは、JSON Webトークン標準のPython実装です。2.13.0から2.14.0まで、HMACキーガードはトップレベルのパブリックJWKフォームのみを認識し、コンテナ表現を見逃すため、PyJWT HMACAlgorithm.prepare_keyが影響を受けます。これは、アプリケーションがHMACおよび非対称アルゴリズムを許可し、パブリックJWKコンテナをローキーとして渡すときに発生します。その結果、公開非対称鍵の素材はHMACシークレットとして受け入れられます。その結果、公開鍵を知っている攻撃者が、任意の認証されたクレームでトークンを偽造する可能性があります。この問題はバージョン 2.14.0 で修正されています。(CVE-2026-102273)

    PyJWTは、JSON Webトークン標準のPython実装です。2.1.0から2.15.0までは、jwt/algorithms.py のPyJWT OKPAlgorithm.from_jwkは影響を受けます。これは、private-JWKインポートパスがdとxから派生した公開鍵を比較しないためです。これは、OKP プライベート JWK が、対応していない x および d コンポーネントを供給する場合に発生します。その結果、x から派生したアイデンティティは、d で実行される操作とは異なる場合があります。
    その結果、統合が、プルーフヘッダーからの秘密鍵パラメーターを拒否せずに受け入れる場合、攻撃者が盗まれた送信者制約付きトークンを正当な秘密鍵なしで使用する可能性があります。この問題はバージョン 2.15.0 で修正されています。(CVE-2026-102275)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

2023 年 Amazon Linux:python3-jwt、python3-jwt+crypto (ALAS2023-2026-3298)

critical Nessus プラグイン ID 371882

バージョン 1.1