The remote Redhat Enterprise Linux 8 host has packages installed that are affected by a vulnerability as referenced in the RHSA-2023:4410 advisory.

  - cjose: AES GCM decryption uses the Tag length from the actual Authentication Tag provided in the JWE     (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Oracle Linux 8 host has packages installed that are affected by a vulnerability as referenced in the ELSA-2023-4418 advisory.

  - OpenIDC/cjose is a C library implementing the Javascript Object Signing and Encryption (JOSE). The AES GCM     decryption routine incorrectly uses the Tag length from the actual Authentication Tag provided in the JWE.
    The spec says that a fixed length of 16 octets must be applied. Therefore this bug allows an attacker to     provide a truncated Authentication Tag and to modify the JWE accordingly. Users should upgrade to a     version >= 0.6.2.2. Users unable to upgrade should avoid using AES GCM encryption and replace it with     another encryption algorithm (e.g. AES CBC). (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 10 host has packages installed that are affected by a vulnerability as referenced in the dla-3515 advisory.

  - OpenIDC/cjose is a C library implementing the Javascript Object Signing and Encryption (JOSE). The AES GCM     decryption routine incorrectly uses the Tag length from the actual Authentication Tag provided in the JWE.
    The spec says that a fixed length of 16 octets must be applied. Therefore this bug allows an attacker to     provide a truncated Authentication Tag and to modify the JWE accordingly. Users should upgrade to a     version >= 0.6.2.2. Users unable to upgrade should avoid using AES GCM encryption and replace it with     another encryption algorithm (e.g. AES CBC). (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Debian 11 / 12 host has packages installed that are affected by a vulnerability as referenced in the dsa-5472 advisory.

  - OpenIDC/cjose is a C library implementing the Javascript Object Signing and Encryption (JOSE). The AES GCM     decryption routine incorrectly uses the Tag length from the actual Authentication Tag provided in the JWE.
    The spec says that a fixed length of 16 octets must be applied. Therefore this bug allows an attacker to     provide a truncated Authentication Tag and to modify the JWE accordingly. Users should upgrade to a     version >= 0.6.2.2. Users unable to upgrade should avoid using AES GCM encryption and replace it with     another encryption algorithm (e.g. AES CBC). (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Ubuntu 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04 host has packages installed that are affected by a vulnerability as referenced in the USN-6307-1 advisory.

  - OpenIDC/cjose is a C library implementing the Javascript Object Signing and Encryption (JOSE). The AES GCM     decryption routine incorrectly uses the Tag length from the actual Authentication Tag provided in the JWE.
    The spec says that a fixed length of 16 octets must be applied. Therefore this bug allows an attacker to     provide a truncated Authentication Tag and to modify the JWE accordingly. Users should upgrade to a     version >= 0.6.2.2. Users unable to upgrade should avoid using AES GCM encryption and replace it with     another encryption algorithm (e.g. AES CBC). (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 37 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2023-cf01e05114 advisory.

  - OpenIDC/cjose is a C library implementing the Javascript Object Signing and Encryption (JOSE). The AES GCM     decryption routine incorrectly uses the Tag length from the actual Authentication Tag provided in the JWE.
    The spec says that a fixed length of 16 octets must be applied. Therefore this bug allows an attacker to     provide a truncated Authentication Tag and to modify the JWE accordingly. Users should upgrade to a     version >= 0.6.2.2. Users unable to upgrade should avoid using AES GCM encryption and replace it with     another encryption algorithm (e.g. AES CBC). (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The remote Fedora 39 host has a package installed that is affected by a vulnerability as referenced in the FEDORA-2023-d5f23da04a advisory.

  - OpenIDC/cjose is a C library implementing the Javascript Object Signing and Encryption (JOSE). The AES GCM     decryption routine incorrectly uses the Tag length from the actual Authentication Tag provided in the JWE.
    The spec says that a fixed length of 16 octets must be applied. Therefore this bug allows an attacker to     provide a truncated Authentication Tag and to modify the JWE accordingly. Users should upgrade to a     version >= 0.6.2.2. Users unable to upgrade should avoid using AES GCM encryption and replace it with     another encryption algorithm (e.g. AES CBC). (CVE-2023-37464)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 4408 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 4418 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの CentOS Linux 8 ホストにインストールされているパッケージは、CESA-2023: 4418 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 4429 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Oracle Linux 9 ホストに、ELSA-2023-4411アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモート Redhat Enterprise Linux 8 ホストにインストールされているパッケージは、RHSA-2023: 4410 のアドバイザリに記載されている脆弱性の影響を受けます。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Oracle Linux 8 ホストに、ELSA-2023-4418 のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Debian 10 ホストには、dla-3515 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 / 12 ホストには、dsa-5472 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04 ホストにインストールされているパッケージは、USN-6307-1 アドバイザリに記載されている脆弱性の影響を受けます。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Fedora 37 ホストには、FEDORA-2023-cf01e05114 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

リモートの Fedora 39 ホストには、FEDORA-2023-d5f23da04a のアドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

  - OpenIDC/cjose は、Javascript Object Signing and Encryption (JOSE) を実装する C ライブラリです。AES GCM 復号ルーチンが、JWE で提供された実際の認証タグからのタグ長を不適切に使用します。
    仕様では、16 オクテットの固定長を適用する必要があると規定されています。したがって、このバグにより、攻撃者が切り捨てられた認証タグを提供し、それに応じて JWE を変更する可能性があります。ユーザーは、バージョン 0.6.2.2 以降にアップグレードする必要があります。アップグレードできないユーザーは、AES GCM 暗号化の使用を避け、別の暗号化アルゴリズム (例: AES CBC) に置き換える必要があります。(CVE-2023-37464)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

ID	名稱	產品	系列	已發布	已更新	嚴重性
179162	RHEL 8 : mod_auth_openidc:2.3 (RHSA-2023:4410)	Nessus	Red Hat Local Security Checks	2023/8/1	2024/4/28	high
179242	Oracle Linux 8 : mod_auth_openidc:2.3 (ELSA-2023-4418)	Nessus	Oracle Linux Local Security Checks	2023/8/2	2023/9/26	high
179360	Debian DLA-3515-1 : cjose - LTS security update	Nessus	Debian Local Security Checks	2023/8/4	2023/9/26	high
179628	Debian DSA-5472-1 : cjose - security update	Nessus	Debian Local Security Checks	2023/8/9	2023/9/26	high
180187	Ubuntu 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04 : JOSE for C/C++ vulnerability (USN-6307-1)	Nessus	Ubuntu Local Security Checks	2023/8/25	2023/9/26	high
181206	Fedora 37 : cjose (2023-cf01e05114)	Nessus	Fedora Local Security Checks	2023/9/10	2023/9/25	high
185247	Fedora 39 : cjose (2023-d5f23da04a)	Nessus	Fedora Local Security Checks	2023/11/7	2023/12/22	high
179152	RHEL 8: - mod_auth_openidc: 2.3 (RHSA-2023: 4408)	Nessus	Red Hat Local Security Checks	2023/8/1	2024/4/28	high
179182	RHEL 8: - mod_auth_openidc: 2.3 (RHSA-2023: 4418)	Nessus	Red Hat Local Security Checks	2023/8/1	2024/4/28	high
179183	CentOS 8 : - mod_auth_openidc: 2.3 (CESA-2023: 4418)	Nessus	CentOS Local Security Checks	2023/8/1	2024/2/8	high
179201	RHEL 8 : - mod_auth_openidc: 2.3 (RHSA-2023: 4429)	Nessus	Red Hat Local Security Checks	2023/8/2	2024/4/28	high
179243	Oracle Linux 9 : cjose (ELSA-2023-4411)	Nessus	Oracle Linux Local Security Checks	2023/8/2	2023/9/26	high
179162	RHEL 8: - mod_auth_openidc: 2.3 (RHSA-2023: 4410)	Nessus	Red Hat Local Security Checks	2023/8/1	2024/4/28	high
179242	Oracle Linux 8: - mod_auth_openidc: 2.3 (ELSA-2023-4418)	Nessus	Oracle Linux Local Security Checks	2023/8/2	2023/9/26	high
179360	Debian DLA-3515-1 : cjose - LTS セキュリティ更新	Nessus	Debian Local Security Checks	2023/8/4	2023/9/26	high
179628	Debian DSA-5472-1 : cjose - セキュリティ更新	Nessus	Debian Local Security Checks	2023/8/9	2023/9/26	high
180187	Ubuntu 18.04 ESM / 20.04 LTS / 22.04 LTS / 23.04 : JOSE for C/C++ の脆弱性 (USN-6307-1)	Nessus	Ubuntu Local Security Checks	2023/8/25	2023/9/26	high
181206	Fedora 37: cjose (2023-cf01e05114)	Nessus	Fedora Local Security Checks	2023/9/10	2023/9/25	high
185247	Fedora 39 : cjose (2023-d5f23da04a)	Nessus	Fedora Local Security Checks	2023/11/7	2023/12/22	high

偵測

搜尋 Plugin

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high

high