Linux Distros 未修补的漏洞：CVE-2022-36083
medium Nessus 插件 ID 256885
语言：
简介
Linux/Unix 主机上安装的一个或多个程序包存在漏洞，但供应商表示不会修补此漏洞。描述
Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。- JOSE 是 JSON Web 几乎所有内容 - 在 Node.js、Browser、Cloudflare Workers、Electron 和 Deno 中使用运行时的本机加密没有任何依存关系的 JWA、JWS、JWE、JWT、JWK、JWKS。基于 PBKDF2 的 JWE 密钥管理算法预期存在名为“p2c”PBES2 计数的 JOSE 标头参数该参数确定必须执行多少 PBKDF2 迭代才能派生 CEK 封装密钥。此参数的目的是故意减慢密钥导出函数的运行速度从而使密码暴力破解和字典攻击的成本更高。这使得 PBES2 算法不适合 JWE 来自不受信任的来源的情况攻击者可以故意选择非常高的 PBES2 计数值这将启动 CPU 密集型计算可能需要不合理的时间才能完成。
在某些情况下用户环境可能消耗不合理的 CPU 时间。影响仅影响到使用 JWE 解密 API 通过对称密钥对来自不受信任方的 JWE 进行解密的用户未使用“keyManagementAlgorithms”或 v1 中的“algorithms”来限制接受的 JWE 密钥管理算法“alg”标头参数。 .x通过其他方式解密选项或。“v1.28.2”、“v2.0.6”、“v3.20.4”和“v4.9.2”版本默认将 PBKDF2 最大迭代计数限制为“10000”。可以通过新引入的“maxPBES2Count”解密选项来调整此限制。如果用户无法升级所需的库版本，根据是否预期收到使用三种基于 PBKDF2 的 JWE 密钥管理算法中任意一种的 JWE，他们有两种选择。恶意攻击者可使用“keyManagementAlgorithms”解密选项来完全禁止接受 PBKDF2或者可在使用解密 API 之前检查 JOSE 标头并限制 PBKDF2 迭代计数“p2c”标头参数。 (CVE-2022-36083)
请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。
解决方案
目前尚未有任何已知的解决方案。另见
插件详情
严重性: Medium
ID: 256885
文件名: unpatched_CVE_2022_36083.nasl
版本: 1.1
类型: local
代理: unix
系列: Misc.
发布时间: 2025/8/27
最近更新时间: 2025/8/27
支持的传感器: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Low
分数: 2.2
CVSS v2
风险因素: Medium
基本分数: 5
时间分数: 3.9
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:P
CVSS 分数来源: CVE-2022-36083
CVSS v3
风险因素: Medium
基本分数: 5.3
时间分数: 4.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: cpe:/o:canonical:ubuntu_linux:24.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:25.04, p-cpe:/a:canonical:ubuntu_linux:node-jose, p-cpe:/a:canonical:ubuntu_linux:jose
必需的 KB 项: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
可利用: true
易利用性: Exploits are available
漏洞发布日期: 2022/9/7
参考资料信息
CVE: CVE-2022-36083