Debian dla-4564 ： python3-jwt - security update

high Nessus Plugin ID 312261

語言:

概要

遠端 Debian 主機缺少安全性相關更新。

說明

遠端的 Debian 11 主機安裝了一個套件，該套件受到 dla-4564 警示中提及的漏洞影響。

------------------------------------------------------------------------- Debian LTS 諮詢 DLA-4564-1 [email protected] https://www.debian.org/lts/security/Jochen Sprickerhof 2026 年 5 月 5 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

套件： pyjwt 版本： 1.7.1-2+deb11u1 CVE ID ： CVE-2026-32597

發現 PyJWT（一個 Python 的 JSON Web Token 實作）並未驗證 RFC 7515 4.1.11中定義的 crit（關鍵）標頭參數。當 JWS 標記包含 PyJWT 不理解的 crit 陣列擴充功能時，函式庫會接受該標記，而非拒絕。
這違反了RFC中的MUST要求。

對於 Debian 11 Bullseye，這個問題在 1.7.1-2+deb11u1 版本中已被修正。

我們建議您升級您的 pyjwt 套件。

關於 pyjwt 的詳細安全狀態，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/pyjwt

有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。