Linux Distros 未修補的弱點：CVE-2026-34986
high Nessus Plugin ID 305116
語言:
概要
Linux/Unix 主機上安裝的一個或多個套件存有弱點，供應商表示將不會修補。說明
Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。- Go JOSE 在 Go 中提供一組 Javascript 物件簽署和加密標準的實作包括對 JSON Web 加密 (JWE)、JSON Web 簽章 (JWS) 和 JSON Web Token (JWT) 標準的支援。在 4.1.4 和 3.0.5之前的版本中如果 alg 欄位指示金鑰包裝演算法 (結尾為 KW, A128GCMKW、A192GCMKW 和 A256GCMKW 除外) 且encrypted_key 欄位為空白。此錯誤發生在 key_wrap.go 中的 cipher.KeyUnwrap() 嘗試根據 crypto_key 的長度配置零長度或負長度的配量時。此程式碼路徑可從 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() (接著是結果物件上的 Decrypt()) 存取。請注意parse 函式會採用已接受之金鑰演算法的清單。如果接受的金鑰演算法不包含任何金鑰包裝演算法則剖析將會失敗且應用程式不受影響。使用長度少於 16 位元組的任何加密文字參數直接呼叫 cipher.KeyUnwrap()也會導致此錯誤但直接呼叫此函式的情況較不常見。不穩定可導致拒絕服務。此弱點已在 4.1.4 和 3.0.5 中修正。(CVE-2026-34986)
請注意，Nessus 的判定取決於廠商所報告的套件是否存在。
解決方案
目前尚未有已知的解決方案。另請參閱
https://access.redhat.com/security/cve/cve-2026-34986
Plugin 詳細資訊
嚴重性: High
ID: 305116
檔案名稱: unpatched_CVE_2026_34986.nasl
版本: 1.16
類型: Local
代理程式: unix
系列: Misc.
已發布: 2026/4/7
已更新: 2026/7/20
支援的感應器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
風險資訊
VPR
風險因素: Medium
分數: 5
百分位: 94.06
CVSS v2
風險因素: Medium
基本分數: 5
時間性分數: 4.3
媒介: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS 評分資料來源: CVE-2026-34986
CVSS v3
風險因素: High
基本分數: 7.5
時間性分數: 6.9
媒介: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
時間媒介: CVSS:3.0/E:U/RL:U/RC:C
弱點資訊
CPE: cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.10, cpe:/o:canonical:ubuntu_linux:26.04:-:lts, cpe:/o:centos:centos:8, cpe:/o:debian:debian_linux:11.0, cpe:/o:debian:debian_linux:12.0, cpe:/o:debian:debian_linux:13.0, cpe:/o:debian:debian_linux:14.0, cpe:/o:redhat:enterprise_linux:10, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:canonical:ubuntu_linux:golang-github-go-jose-go-jose.v3, p-cpe:/a:canonical:ubuntu_linux:golang-github-go-jose-go-jose, p-cpe:/a:canonical:ubuntu_linux:golang-gopkg-square-go-jose.v2, p-cpe:/a:centos:centos:buildah-tests, p-cpe:/a:centos:centos:buildah, p-cpe:/a:centos:centos:ignition-edge, p-cpe:/a:centos:centos:ignition-grub, p-cpe:/a:centos:centos:ignition-validate, p-cpe:/a:centos:centos:ignition, p-cpe:/a:centos:centos:osbuild-composer-core, p-cpe:/a:centos:centos:osbuild-composer-dnf-json, p-cpe:/a:centos:centos:osbuild-composer-worker, p-cpe:/a:centos:centos:osbuild-composer, p-cpe:/a:centos:centos:skopeo-tests, p-cpe:/a:centos:centos:skopeo, p-cpe:/a:debian:debian_linux:golang-github-go-jose-go-jose.v3, p-cpe:/a:debian:debian_linux:golang-github-go-jose-go-jose, p-cpe:/a:debian:debian_linux:golang-gopkg-square-go-jose.v1, p-cpe:/a:debian:debian_linux:golang-gopkg-square-go-jose.v2, p-cpe:/a:redhat:enterprise_linux:buildah-tests, p-cpe:/a:redhat:enterprise_linux:buildah, p-cpe:/a:redhat:enterprise_linux:ignition-edge, p-cpe:/a:redhat:enterprise_linux:ignition-grub, p-cpe:/a:redhat:enterprise_linux:ignition-validate, p-cpe:/a:redhat:enterprise_linux:ignition, p-cpe:/a:redhat:enterprise_linux:osbuild-composer-core, p-cpe:/a:redhat:enterprise_linux:osbuild-composer-dnf-json, p-cpe:/a:redhat:enterprise_linux:osbuild-composer-worker, p-cpe:/a:redhat:enterprise_linux:osbuild-composer, p-cpe:/a:redhat:enterprise_linux:skopeo-tests, p-cpe:/a:redhat:enterprise_linux:skopeo
必要的 KB 項目: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可輕鬆利用: No known exploits are available
弱點發布日期: 2026/4/3
參考資訊
CVE: CVE-2026-34986