Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - JOSE 是 JSON Web Almost Everyone - JWA、JWS、JWE、JWT、JWK、JWKS 在 Node.js、Browser、Cloudflare Workers、Electron 和 Deno 中使用運行時間的原生 crypto。PBKDF2 型 JWE 金鑰管理演算法預期名稱為 `p2c` PBES2 計數的 JOSE 標頭參數決定了必須執行多少次 PBKDF2 反覆運算才能衍生 CEK 包裝金鑰。此參數的用途是刻意減慢金鑰衍生功能的速度，以使密碼暴力密碼破解和字典攻擊的代價更為昂貴。這會使 PBES2 演算法不適用於 JWE 來自未受信任來源的情況攻擊者可刻意挑選一個極高的 PBES2 Count 值這將啟動佔用大量 CPU 的計算並可能花不合理的時間完成。
    在某些情況下使用者的環境可消耗不合理的 CPU 時間。影響只會影響利用 JWE 解密 API (含對稱密碼) 來解密來自未受信任之方的 JWE且不會限制使用「keyManagementAlgorithms」 (或在 v1 中為「algorithms」) 的 JWE 金鑰管理演算法 (「alg」標頭參數) 的使用者。 .x) 解密選項或透過其他方式。`v1.28.2`、`v2.0.6`、`v3.20.4` 和 `v4.9.2` 版本預設將最大 PBKDF2 反覆數計數限制為 `10000`。可以使用新引入的 `maxPBES2Count` 解密選項調整此限制。如果使用者無法升級其所需的程式庫版本取決於他們是否預期使用三種 PBKDF2 型 JWE 金鑰管理演算法中的任何一種來接收 JWE有兩個選擇。他們可以使用 `keyManagementAlgorithms` 解密選項來完全停用接受 PBKDF2或者他們可以在使用解密 API 之前檢查 JOSE 標頭並限制 PBKDF2 重複計數 (`p2c` 標頭參數)。 (CVE-2022-36083)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2022-36083

medium Nessus Plugin ID 256885

找不到變更記錄