Amazon Linux 2023：python3-jwt、python3-jwt+crypto （ALAS2023-2026-3298）
critical Nessus 插件 ID 371882
语言：
简介
远程 Amazon Linux 2023 主机缺少安全更新。描述
因此，该软件受到 ALAS2023-2026-3298 公告中提及的多个漏洞影响。在 PyJWT 中发现一个缺陷。远程攻击者可通过提交包含未知密钥标识符的标记，通过出站请求放大触发拒绝服务 （DoS）。由于提取签名密钥时库未缓存查找失败或强制执行最小刷新间隔，因此每个无效密钥标识符都会强制向远程 JSON Web 密钥集 （JWKS） 服务器发出新请求。这允许攻击者耗尽网络资源并淹没已配置的身份验证端点。（CVE-2026-101917）
在 PyJWT 中发现一个缺陷。在签名验证前处理 JSON Web Token （JWT） 时，解析器无法正确处理深度嵌套数据，从而导致未处理的递归错误。未经认证的远程攻击者可利用此缺陷，通过提交特别构建的标记，造成应用程序引发非预期服务器异常，并导致拒绝服务 （DoS）。
(CVE-2026-101918)
在 pyjwt 中发现一个缺陷。远程攻击者可伪造认证标记并用空密钥签名标记来绕过安全控制。针对包含空的基于哈希的消息认证代码 （HMAC） 密钥的 JSON Web Key （JWK） 集验证标记时，库无法强制执行密钥长度验证。这允许攻击者生成带有任意声明的有效标记，从而获取未经授权的访问权限。（CVE-2026-102266）
PyJWT 是 JSON Web Token 标准的 Python 实现。在版本 2.14.0之前，PyJWT PyJWKClient 会受到影响，因为重定向目的地未针对 JWKS 信任边界重新验证。当已配置的受信任 JWKS 端点返回受攻击者影响的重定向时，便会发生此情况。因此，PyJWKClient 会遵循重定向，并将重定向的响应作为密钥材料使用。因此，转发的凭据可能被泄露，或验证密钥可能被替换。此问题已在 2.14.0 版本中修复。(CVE-2026-102267)
PyJWT 是 JSON Web Token 标准的 Python 实现。在之前 2.14.0版本中，jwt/utils.py 中的 is_pem_format 受到影响，因为 is_pem_format 无法识别加密加载程序接受的每一个 PEM 表示法。当应用程序混合使用 HMAC 和非对称算法，并提供可变的公钥 PEM 作为原始密钥字节时，便会发生这种情况。因此，HMACAlgorithm.prepare_key 将无法识别的非对称公钥视为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102268)
PyJWT 是 JSON Web Token 标准的 Python 实现。From 2.4.02.14.0until ， PyJWT HMACAlgorithm.prepare_key 会受到影响，因为 asymmetric-key guard 依赖于 DER 编码中不存在的文本标记。当应用程序混合使用 HMAC 和非对称算法并提供 DER 公钥作为共享验证密钥时，会发生这种情况。因此，PyJWT 将公共 DER 字节用作 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的 HMAC 标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102271)
PyJWT 是 JSON Web Token 标准的 Python 实现。从 2.13.02.14.0until ， JWT/algorithms.py 中的 HMACAlgorithm.prepare_key 受到影响，因为 raw-JWK 检测器在检查 JSON 之前未规范化接受的 Unicode 字节顺序标记。当公共 JWK 以 UTF-8 BOM 作为前缀，并在混合算法验证路径中使用时，会发生这种情况。因此，公共 JWK 可绕过非对称密钥检测并成为 HMAC 密码。因此，了解公钥的攻击者可伪造经认证的标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102272)
PyJWT 是 JSON Web Token 标准的 Python 实现。From 2.13.0 until 2.14.0， PyJWT HMACAlgorithm.prepare_key会受到影响，因为 HMAC 密钥防护只能识别顶级公用 JWK 表单，而忽略了容器表示形式。当应用程序允许 HMAC 和非对称算法，并将公共 JWK 容器作为原始密钥传递时，便会发生这种情况。因此，公开非对称密钥材料会作为 HMAC 密码接受。因此，了解公钥的攻击者可通过任意经认证声明伪造标记。此问题已在 2.14.0 版本中修复。(CVE-2026-102273)
PyJWT 是 JSON Web Token 标准的 Python 实现。从 2.1.0 until 2.15.0， jwt/algorithms.py 中的 PyJWT OKPAlgorithm.from_jwk会受到影响，因为 private-JWK 导入路径不会比较派生自 d 和 x 的公钥。当 OKP 专用 JWK 提供不对应的 x 和 d 组件时会发生这种情况。因此，从 x 派生的身份可能与使用 d 执行的操作不同。
因此，如果集成也接受来自证明标头的私钥参数但未拒绝它们，则攻击者可在没有合法私钥的情况下使用被盗的发送者限制令牌。此问题已在 2.15.0 版本中修复。(CVE-2026-102275)
Tenable 已直接从测试产品的安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
运行“dnf update python-jwt --releasever 2023.12.20261026”或“/或”dnf update --advisory ALAS2023-2026-3298 --releasever 2023.12.20261026“以更新系统。另见
https://alas.aws.amazon.com//AL2023/ALAS2023-2026-3298.html
https://alas.aws.amazon.com/faqs.html
https://explore.alas.aws.amazon.com/CVE-2026-101917.html
https://explore.alas.aws.amazon.com/CVE-2026-101918.html
https://explore.alas.aws.amazon.com/CVE-2026-102266.html
https://explore.alas.aws.amazon.com/CVE-2026-102267.html
https://explore.alas.aws.amazon.com/CVE-2026-102268.html
https://explore.alas.aws.amazon.com/CVE-2026-102271.html
https://explore.alas.aws.amazon.com/CVE-2026-102272.html
插件详情
严重性: Critical
ID: 371882
文件名: al2023_ALAS2023-2026-3298.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/10/25
最近更新时间: 2026/10/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.3
百分位: 96.23
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7.4
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2026-102267
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 8.2
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
漏洞信息
CPE: cpe:/o:amazon:linux:2023, p-cpe:/a:amazon:linux:python3-jwt, p-cpe:/a:amazon:linux:python3-jwt%2bcrypto
必需的 KB 项: Host/local_checks_enabled, Host/AmazonLinux/release, Host/AmazonLinux/rpm-list
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/10/24
漏洞发布日期: 2026/9/28
参考资料信息
CVE: CVE-2026-101917, CVE-2026-101918, CVE-2026-102266, CVE-2026-102267, CVE-2026-102268, CVE-2026-102271, CVE-2026-102272, CVE-2026-102273, CVE-2026-102275