远程主机上安装的 python-jwcrypto 版本低于 0.4.2-1。因此，它受到 ALAS2-2026-3254 公告中提及的一个漏洞影响。

    JWCrypto 使用 python-cryptography 实现 JWK、JWS 和 JWE 规范。在此之前 1.5.7，未认证的攻击者可以通过发送带有ZIP压缩的手工JWE令牌来耗尽服务器内存。现有补丁 CVE-2024-28102 限制输入令牌大小为250KB，但不验证解压后的输出大小。未经认证的攻击者可能会在内存受限系统中导致内存耗尽。低于250KB输入限制的令牌可解压至约100MB。此漏洞已在 1.5.7 中修复。(CVE-2026-39373)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

检测

亚马逊Linux 2 ： python-jwcrypto， --advisory ALAS2-2026-3254 （ALAS-2026-3254）

medium Nessus 插件 ID 311204

未找到依赖项