Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jose 库接受非规范长度的 ECDSA（ES256、ES256K ES384和 ES512）JWS 签名。
    验证 ECDSA 签名时，src/jwk/jose_jwk_kty_ec.erl 中的 jose_jwk_kty_ec：verify/4 会按其实际字节长度 （split_binary（Signature， byte_size（Signature） div 2）） 拆分成两半，而不是强制执行 RFC 7518 3.4要求的固定长度，然后使用 crypto：bytes_to_integer/1 解码每一半， 这会忽略前导零字节。因此，持有一个有效标记的攻击者可以为 R 和 S 两半各预加前导零字节，以生成仍会平均拆分且解码为相同 （r， s） 对的较长签名，如此一来，许多不同的签名字节字符串都会针对同一密钥进行验证（签名延展性）。这不允许伪造新的负载或冒充签名者，因为基础 （r， s） 值保持不变。它会破坏任何假定有效标记或其签名唯一的安全控件，例如哈希令牌吊销、重放或幂等缓存以及去重逻辑。此问题影响 jose： from 1.0.0 before 1.11.13。（CVE-2026-65632）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2026-65632

medium Nessus 插件 ID 372484

版本 1.1