CentOS 8：jose (CESA-2024:5294)
high Nessus 插件 ID 206026
语言：
简介
远程 CentOS 主机缺少一个或多个安全更新。描述
远程 CentOS Linux 8 主机上安装的多个程序包受到 CESA-2024:5294 公告中提及的多个漏洞影响。- 11 及之前版本的 latchset jose 允许攻击者通过较大的 p2c（又称为 PBES2 计数）值造成拒绝服务（CPU 消耗）。(CVE-2023-50967)
- jose 是用于 JSON 对象签名和加密的 JavaScript 模块，提供对 JSON Web Tokens (JWT)、JSON Web Signature (JWS)、JSON Web Encryption (JWE)、JSON Web Key (JWK)、JSON Web Key Set (JWKS) 等的支持。在 JSON Web Encryption (JWE) 解密接口中发现一个漏洞，该漏洞尤其与解密后纯文本的解压缩支持有关。在某些情况下，该漏洞可能会在 JWE 解密操作期间使用户的环境消耗不合理的 CPU 时间或内存资源。已在 2.0.7 和 4.15.5 中修补此问题。
(CVE-2024-28176)
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 jose、libjose 和/或 libjose-devel 程序包。另见
插件详情
严重性: High
ID: 206026
文件名: centos8_RHSA-2024-5294.nasl
版本: 1.3
类型: local
代理: unix
发布时间: 2024/8/21
最近更新时间: 2025/6/18
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.4
CVSS v2
风险因素: High
基本分数: 7.8
时间分数: 6.1
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS 分数来源: CVE-2023-50967
CVSS v3
风险因素: High
基本分数: 7.5
时间分数: 6.7
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: cpe:/o:centos:centos:8, p-cpe:/a:centos:centos:libjose-devel, p-cpe:/a:centos:centos:libjose, p-cpe:/a:centos:centos:jose
必需的 KB 项: Host/local_checks_enabled, Host/cpu, Host/CentOS/release, Host/CentOS/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2024/8/13
漏洞发布日期: 2024/3/7
参考资料信息
CVE: CVE-2023-50967, CVE-2024-28176
RHSA: 2024:5294