遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2024:2559 公告中提及的一個弱點影響。

  - python-jwcrypto：惡意 JWE 權杖可造成拒絕服務 (CVE-2024-28102)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8/9 主機上安裝的套件受到 RHSA-2024:4522 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * automation-controller：jinja2：接受包含非屬性字元的金鑰 (CVE-2024-34064)
    * automation-controller：python-jwcrypto：惡意 JWE 權杖可造成拒絕服務 (CVE-2024-28102)
    * automation-controller：要求：對相同主機的後續要求會忽略憑證驗證 (CVE-2024-35195)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    自動化控制器的更新和修復：
    * 修正控制器不遵循 DATABASES[OPTIONS] 設定 (若已指定) 的錯誤 (AAP-26398)
    * 已變更 ImplicitRoleField 的所有使用方式，以執行 on_delete=SET_NULL (AAP-25136)
    * 修正 HostMetric 自動化計數器以顯示正確的值 (AAP-25115)
    * 新增 Django 登出重新導向 (AAP-24543)
    * 已將 automation-controller 更新至 4.5.8

    其他變更：
    * 已將 aap-metrics-utility 更新至 0.3.0 (AAP-25875)
    * 已將 ansible-core 更新至 2.15.12 (AAP-25536)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 9 主機已安裝一個受到 AXSA:2024-7961:01 公告中所提及的弱點影響的套件。

    * python-jwcrypto：惡意 JWE 權杖可造成拒絕服務 (CVE-2024-28102)

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機上安裝的一個套件受到 ELSA-2024-2559 公告中提及的弱點影響。

  - JWCrypto 使用 python-cryptography 實作 JWK、JWS 和 JWE 規格。在 1.5.6 版本之前，攻擊者可藉由傳入具有高壓縮率的惡意 JWE Token 造成拒絕服務攻擊。伺服器處理此權杖時，會消耗大量記憶體和處理時間。 1.5.6 版本可透過限制權杖長度上限來修正此弱點。 (CVE-2024-28102)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 8 主機中安裝的套件受到 ELSA-2024-3267 公告中提及的多個弱點影響。

    bind-dyndb-ldap custodia ipa [4.9.13-9.0.1]
    - 在 Oracle Linux 上建構時設定 IPAPLATFORM=rhel [Orabug: 29516674]

    [9.4.13-9]
    - dcerpc：篩選出領域網域時使樹系信任 intfo 快取失效 解決：RHEL-28559
    - 反向移植 python3-tests 中的最新測試修正 ipatests：針對自動私密群組測試新增 xfail，並覆寫 ipatests：在 sssd 的協助下移除 xfail 2.9.4 ipatests：調整新的自動成員資格修正行為 ipatests：test_ipahealthcheck_ipansschainvalidation 測試案例的修正 test_xmlrpc：採用 389-ds 中的自動成員 plugin 訊息變更 解決：RHEL-29908

    ipa-healthcheck opendnssec python-jwcrypto [0.5.0-2]
    - 解決高壓縮率的潛在 DoS 解決：RHEL-28697
    - 限制 PBES 的重複次數 解決：RHEL-23036 RHEL-23037

    python-kdcproxy python-qrcode python-yubico pyusb slapi-nis softhsm

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 python-jwcrypto 版本比 0.4.2-1 舊。因此，它會受到 ALAS2-2025-2763 公告中提及的一個弱點影響。

    JWCrypto 使用 python-cryptography 實作 JWK、JWS 和 JWE 規範。在 1.5.6 版本之前，攻擊者可藉由傳入具有高壓縮率的惡意 JWE Token 造成拒絕服務攻擊。伺服器處理此權杖時，會消耗大量記憶體和處理時間。1.5.6 版透過限制權杖長度上限來修復此弱點。

    注意：https://github.com/latchset/jwcrypto/security/advisories/GHSA-j857-7rvv-vj97NOTE:
    https://github.com/latchset/jwcrypto/commit/90477a3b6e73da69740e00b8161f53fea19b831f (v1.5.6) (CVE-2024-28102)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 8 主機已安裝受到多個弱點影響的套件如 AXSA:2024-8409:01 公告中所提及。

    * JWCrypto：透過特製的 JWE 拒絕服務 (CVE-2023-6681)
      * python-jwcrypto：惡意 JWE 權杖可造成拒絕服務 (CVE-2024-28102)

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - JWCrypto 使用 python-cryptography 實作 JWK、JWS 和 JWE 規格。在 1.5.6 版本之前，攻擊者可藉由傳入具有高壓縮率的惡意 JWE Token 造成拒絕服務攻擊。伺服器處理此權杖時，會消耗大量記憶體和處理時間。 1.5.6 版本可透過限制權杖長度上限來修正此弱點。 (CVE-2024-28102)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

遠端 Rocky Linux 8 主機已安裝受到多個弱點影響的套件如 RLSA-2024:3267 公告中所提及。

    * JWCrypto：透過特製的 JWE 拒絕服務 (CVE-2023-6681)

    * python-jwcrypto：惡意 JWE 權杖可造成拒絕服務 (CVE-2024-28102)

Tenable 已直接從 Rocky Linux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 MiracleLinux 8 主機已安裝受到多個弱點影響的套件如 AXSA:2024-8410:01 公告中所提及。

    * JWCrypto：透過特製的 JWE 拒絕服務 (CVE-2023-6681)
      * python-jwcrypto惡意的 JWE token 可造成拒絕服務 (CVE-2024-28102) CVE-2023-50387 DNS 通訊協定的某些 DNSSEC 方面 (在 RFC 4033、4034、4035、6840 和相關 RFC 中) 允許遠端攻擊者造成拒絕服務(CPU 消耗)透過一或多個 DNSSEC 回應亦即 KeyTrap 問題。其中一個問題是，當某個區域具有多個 DNSKEY 和 RRSIG 記錄時，通訊協定規格即表示演算法必須評估 DNSKEY 和 RRSIG 記錄的所有組合。
    CVE-2023-6681 在 JWCrypto 中發現一個弱點。此瑕疵能讓攻擊者發動拒絕服務 (DoS) 攻擊，以及可能出現密碼暴力密碼破解和字典式攻擊，其需要佔用更多的資源。此問題可造成大量運算消耗，進而引發拒絕服務攻擊。
    CVE-2024-28102 JWCrypto 使用 python-cryptography 實作 JWK、JWS 和 JWE 規格。
    在 1.5.6 版本之前，攻擊者可藉由傳入具有高壓縮率的惡意 JWE Token 造成拒絕服務攻擊。伺服器處理此權杖時，會消耗大量記憶體和處理時間。
    1.5.6 版透過限制權杖長度上限來修復此弱點。
    模組化名稱idm 資料流名稱DL1

Tenable 已直接從 MiracleLinux 安全性公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Rocky Linux 9 主機已安裝一個受到 RLSA-2024:2559 公告中提及的一個弱點影響的套件。

  - JWCrypto 使用 python-cryptography 實作 JWK、JWS 和 JWE 規格。在 1.5.6 版本之前，攻擊者可藉由傳入具有高壓縮率的惡意 JWE Token 造成拒絕服務攻擊。伺服器處理此權杖時，會消耗大量記憶體和處理時間。 1.5.6 版本可透過限制權杖長度上限來修正此弱點。 (CVE-2024-28102)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的一個套件受到 dla-3883 公告中提及的一個弱點影響。

    - ------------------------------------------------- ------------------------------------ Debian LTS 公告 DLA-3883-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2024 年 9 月 9 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：python-jwcrypto 版本：0.8.0-1+deb11u1 CVE ID：CVE-2024-28102 Debian 錯誤：1065688

    在 JSON Web 加密和類似物件簽署標準的實作 python-jwcrypto 中發現潛在的拒絕服務 (DoS) 攻擊。

    攻擊者可藉由將具有高壓縮率的惡意 JWE 權杖傳遞給 python-jwcrypto 來執行此攻擊。伺服器處理此權杖時，會消耗大量記憶體和處理時間。

    針對 Debian 11 Bullseye，已在 0.8.0-1+deb11u1 版本中修正此問題。

    建議您升級 python-jwcrypto 套件。

    如需 python-jwcrypto 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-jwcrypto

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 主機上安裝的套件受到 RHSA-2024:3267 公告中提及的多個弱點影響。

    Red Hat Identity Management (IdM) 是一種適用於傳統和雲端型企業環境的集中式驗證、身分管理和授權解決方案。

    安全性修正：

    * JWCrypto：透過特製的 JWE 拒絕服務 (CVE-2023-6681)

    * python-jwcrypto：惡意 JWE 權杖可造成拒絕服務 (CVE-2024-28102)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
194826	RHEL 9：python-jwcrypto (RHSA-2024:2559)	Nessus	Red Hat Local Security Checks	2024/4/30	2025/12/23	medium
202258	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 產品安全性和錯誤修正更新 (中等) (RHSA-2024:4522)	Nessus	Red Hat Local Security Checks	2024/7/12	2025/12/23	medium
292230	MiracleLinux 9python-jwcrypto-0.8-5.el9 (AXSA:2024-7961:01)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	medium
195123	Oracle Linux 9：python-jwcrypto (ELSA-2024-2559)	Nessus	Oracle Linux Local Security Checks	2024/5/7	2025/12/23	medium
198278	Oracle Linux 8：idm:DL1 / 和 / idm:client (ELSA-2024-3267)	Nessus	Oracle Linux Local Security Checks	2024/6/1	2025/12/23	medium
216811	Amazon Linux 2：python-jwcrypto (ALAS-2025-2763)	Nessus	Amazon Linux Local Security Checks	2025/2/26	2025/12/23	medium
291931	MiracleLinux 8idm:client (AXSA:2024-8409:01)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	medium
252859	Linux Distros 未修補的弱點：CVE-2024-28102	Nessus	Misc.	2025/8/20	2026/4/29	medium
200599	Rocky Linux 8idm:DL1 和 idm:client (RLSA-2024:3267)	Nessus	Rocky Linux Local Security Checks	2024/6/14	2025/12/23	medium
293162	MiracleLinux 8idm:DL1 (AXSA:2024-8410:01)	Nessus	Miracle Linux Local Security Checks	2026/1/20	2026/1/20	high
196953	Rocky Linux 9python-jwcrypto (RLSA-2024:2559)	Nessus	Rocky Linux Local Security Checks	2024/5/14	2025/12/23	medium
206778	Debian dla-3883：python3-jwcrypto - 安全性更新	Nessus	Debian Local Security Checks	2024/9/9	2025/12/23	medium
210497	RHEL 8：idm:DL1 和 idm:client (RHSA-2024:3267)	Nessus	Red Hat Local Security Checks	2024/11/7	2025/12/23	medium

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

medium

medium

medium

medium

high

medium

medium

medium