There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption
    (JOSE) standards. Prior to 1.6.8, joserfc.jwt.decode accepts attacker-forged HMAC-signed tokens when the
    caller-supplied verification key is the empty string or None, because HMACAlgorithm.sign and
    HMACAlgorithm.verify in src/joserfc/_rfc7518/jws_algs.py pass the output of OctKey.get_op_key(...) to
    hmac.new(...) and OctKey.import_key in src/joserfc/_rfc7518/oct_key.py only emits a SecurityWarning for
    keys shorter than 14 bytes without rejecting zero-length input. This issue is fixed in version 1.6.8.
    (CVE-2026-49852)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - joserfc 是一個 Python 程式庫，可提供數個 JSON 物件簽署和加密 (JOSE) 標準的實作。在 1.6.8之前，當調用方提供的驗證金鑰是空字串或 None 時，joserfc.jwt.decode 會接受攻擊者偽造的 HMAC 簽署權杖，因為 src/joserfc/_rfc7518/jws_algs.py 中的 HMACAlgorithm.sign 和 HMACAlgorithm.verify 會將 OctKey.get_op_key（...） 的輸出傳遞至 hmac.new（...），而 src/joserfc/_rfc7518/oct_key.py 中的 OctKey.import_key 只會針對短於 14 位元組的金鑰發出 SecurityWarning，而不會拒絕零長度輸入。1.6.8 版已修正此問題。
    (CVE-2026-49852)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，可提供多种 JSON 对象签名和加密 (JOSE) 标准的实现。在之前的版本 1.6.8中，当调用程序提供的验证密钥为空字符串或 None 时，joserfc.jwt.decode 接受攻击者伪造的 HMAC 签名标记，因为 src/joserfc/_rfc7518/jws_algs.py 中的 HMACAlgorithm.sign 和 HMACAlgorithm.verify 会将 OctKey.get_op_key（...） 的输出传递到 hmac.new（...），而 src/joserfc/_rfc7518/oct_key.py 中的 OctKey.import_key 仅针对短于 14 字节的密钥发出 SecurityWarning，而不拒绝零长度输入。此问题已在 1.6.8 版本中修复。
    (CVE-2026-49852)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21263-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    python-joserfc の変更点:

    - CVE-2026-49852: HS256/HS384/HS512 が空/nil HMAC キーを受け入れることを確認します(bsc#1270234)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - joserfc は、いくつかの JSON Object Signing and Encryption (JOSE) 標準の実装を提供する Python ライブラリです。1.6.8より前のバージョンでは、呼び出し元指定の検証キーが空の文字列または None の場合、joserfc.jwt.decode は攻撃者が偽造した HMAC 署名トークンを受け入れます。これは、src/joserfc/_rfc7518/jws_algs.py の HMACAlgorithm.sign および HMACAlgorithm.verify が、OctKey.get_op_key(...) の出力を hmac.new(...) に渡し、src/joserfc/_rfc7518/oct_key.py の OctKey.import_key は、ゼロレングスの入力を拒否せずに、14 バイト未満のキーに対してのみ SecurityWarning を発ためです。この問題はバージョン 1.6.8 で修正されています。
    (CVE-2026-49852)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21263-1 advisory.

    Changes in python-joserfc:

    - CVE-2026-49852: HS256/HS384/HS512 verify accepts empty/nil HMAC key (bsc#1270234)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption     (JOSE) standards. Prior to 1.6.8, joserfc.jwt.decode accepts attacker-forged HMAC-signed tokens when the     caller-supplied verification key is the empty string or None, because HMACAlgorithm.sign and     HMACAlgorithm.verify in src/joserfc/_rfc7518/jws_algs.py pass the output of OctKey.get_op_key(...) to     hmac.new(...) and OctKey.import_key in src/joserfc/_rfc7518/oct_key.py only emits a SecurityWarning for     keys shorter than 14 bytes without rejecting zero-length input. This issue is fixed in version 1.6.8.
    (CVE-2026-49852)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
457284	Echo: joserfc: security update to 1.6.8	Tenable Self-Hosted Container Security	Echo Local Security Checks	2026/10/2	2026/10/2	high
457284	Echo: joserfc: security update to 1.6.8	Tenable Cloud Security	Echo Local Security Checks	2026/10/2	2026/10/2	high
327782	Linux Distros 未修補弱點：CVE-2026-49852	Nessus	Misc.	2026/7/18	2026/7/20	high
327782	Linux Distros 未修补的漏洞：CVE-2026-49852	Nessus	Misc.	2026/7/18	2026/7/20	high
326067	openSUSE 16 セキュリティ更新:python-joserfc(openSUSE-SU-2026:21263-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/10	high
327782	Linux Distros のパッチ未適用の脆弱性: CVE-2026-49852	Nessus	Misc.	2026/7/18	2026/7/20	high
326067	openSUSE 16 Security Update : python-joserfc (openSUSE-SU-2026:21263-1)	Nessus	SuSE Local Security Checks	2026/7/10	2026/7/10	high
327782	Linux Distros Unpatched Vulnerability : CVE-2026-49852	Nessus	Misc.	2026/7/18	2026/7/20	high

検出

プラグインの検索

high

high

high

high

high

high

high

high