Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Go JOSE 在 Go 中提供 Javascript 对象签名和加密标准集的实现包括对 JSON Web Encryption (JWE)、JSON Web Signature (JWS) 和 JSON Web Token (JWT) 标准的支持。在 4.1.4 和 3.0.5之前的版本中如果 alg 字段表示一种密钥封装算法以 KW 结尾的算法A128GCMKW、A192GCMKW 和 A256GCMKW 除外并且encrypted_key 字段为为空。当 key_wrap.go 中的 cipher.KeyUnwrap() 尝试根据encrypted_key 的长度分配零或负长度的切片时会发生此错误。可在结果对象上先从 ParseEncrypted() / ParseEncryptedJSON() / ParseEncryptedCompact() 访问此代码路径然后再访问 Decrypt()。请注意解析函数采用可接受的密钥算法的列表。如果接受的密钥算法不包含任何密钥封装算法则解析将失败应用程序将不受影响。通过直接使用长度小于 16 字节的任何 ciphertext 参数直接调用 cipher.KeyUnwrap() 也可造成此错误但直接调用此函数的情况较少见。错误可导致拒绝服务。此漏洞已在 4.1.4 和 3.0.5 中修复。(CVE-2026-34986)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-34986

high Nessus 插件 ID 305116

版本 1.4