Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - cryptography 程序包旨在为 Python 开发人员提供加密基元和方法。
    在低于 46.0.5的版本中public_key_from_numbers或 EllipticCurvePublicNumbers.public_key()、EllipticCurvePublicNumbers.public_key()、load_der_public_key() 和 load_pem_public_key() 函数不验证该点是否属于预期的曲线素数次子群。此缺少的验证允许攻击者提供从小阶子群中的公钥点 P。这可能在多种情况下导致安全问题，例如最常用的签名验证 (ECDSA) 和共享密钥协商 (ECDH)。当受害者通过 ECDH 将共享密钥计算为 S = [victim_private_key]P 时会泄露victim_private_key mod (small_subgroup_order) 的相关信息。对于 cofactor > 1 的曲线这会显示私钥的最低有效位。当这些弱公钥用于 ECDSA 时很容易在小型子群组上伪造签名。此漏洞仅影响 SECT 曲线。此漏洞已在 46.0.5 中修复。(CVE-2026-26007)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-26007

high Nessus 插件 ID 298585

版本 1.16