发现 PyJWT 中的漏洞未能正确检查某些公钥的 invalid_strings。远程攻击者可利用密钥混淆从头开始制作 JWT。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行了自动清理和排版。

已发现 JSON Web Tokens 的 Python 实现 PyJWT 对某些公共密钥类型的验证不充分，可允许远程攻击者从头开始制作 JWT。

據發現，PyJWT 中的弱點未檢查某些公開金鑰中的 invalid_strings。遠端攻擊者可利用金鑰混淆重頭特製 JWT。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

發現 JSON Web 權杖的 Python 實作 PyJWT 對若干公開金鑰類型的驗證不足，遠端攻擊者可藉此重頭特製 JWT。

PyJWTの脆弱性がいくつかの公開鍵に対してinvalid_stringsを適切にチェックしないことがわかりました。リモートの攻撃者が鍵の混乱を利用して、最初からJWTを作り出す可能性があります。

注意: Tenable Network Security は、前述の説明ブロックをUbuntuセキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

JSON Web TokenのPython実装であるPyJWTが、一部の公開鍵タイプの検証を十分に行っていないことが判明しました。これにより、リモート攻撃者がJWTをゼロから細工できる可能性があります。

このpython3-PyJWTの更新では、次の脆弱性が修正されます：

  - CVE-2017-11424: 公開鍵をエンコードするPEMのフィルタリングが不十分なため、JWTを新規に作成できました（boo#1054106、CVE-2017-12880と重複）

1.5.3にアップグレードし、1.5.1でCVE-2017-11424が修正されていることにも注意してください。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

The remote Ubuntu 16.04 LTS host has packages installed that are affected by a vulnerability as referenced in the USN-3407-1 advisory.

    It was discovered that a vulnerability in PyJWT doesn't check invalid_strings properly for some public     keys. A remote attacker could take advantage of a key confusion to craft JWTs from scratch.

Tenable has extracted the preceding description block directly from the Ubuntu security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

It was discovered that PyJWT, a Python implementation of JSON Web Token performed insufficient validation of some public key types, which could allow a remote attacker to craft JWTs from scratch.

This update for python3-PyJWT fixes the following vulnerability :

  - CVE-2017-11424: Insufficient filtering of PEM encoding     public keys allowed for creation of JWTs from scratch     (boo#1054106, with duplicate CVE-2017-12880)

Upgrade to 1.5.3 and also note that 1.5.1 fixed CVE-2017-11424.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
102857	Ubuntu 16.04 LTS：PyJWT 漏洞 (USN-3407-1)	Nessus	Ubuntu Local Security Checks	2017/8/31	2024/8/27	high
103331	Debian DSA-3979-1：pyjwt - 安全更新	Nessus	Debian Local Security Checks	2017/9/20	2025/11/20	high
102857	Ubuntu 16.04 LTS：PyJWT 弱點 (USN-3407-1)	Nessus	Ubuntu Local Security Checks	2017/8/31	2024/8/27	high
103331	Debian DSA-3979-1：pyjwt - 安全性更新	Nessus	Debian Local Security Checks	2017/9/20	2025/11/20	high
102857	Ubuntu 16.04 LTS: PyJWT の脆弱性 (USN-3407-1)	Nessus	Ubuntu Local Security Checks	2017/8/31	2024/8/27	high
103331	Debian DSA-3979-1 : pyjwt - セキュリティ更新	Nessus	Debian Local Security Checks	2017/9/20	2025/11/20	high
104082	openSUSEセキュリティ更新プログラム：python3-PyJWT (openSUSE-2017-1178)	Nessus	SuSE Local Security Checks	2017/10/23	2025/11/18	high
105812	Fedora 27：python-jwt（2017-0cc84101de）	Nessus	Fedora Local Security Checks	2018/1/15	2025/11/6	high
103439	Fedora 26：python-jwt（2017-b9f07dfaca）	Nessus	Fedora Local Security Checks	2017/9/25	2025/11/20	high
102857	Ubuntu 16.04 LTS : PyJWT vulnerability (USN-3407-1)	Nessus	Ubuntu Local Security Checks	2017/8/31	2024/8/27	high
103331	Debian DSA-3979-1 : pyjwt - security update	Nessus	Debian Local Security Checks	2017/9/20	2025/11/20	high
104082	openSUSE Security Update : python3-PyJWT (openSUSE-2017-1178)	Nessus	SuSE Local Security Checks	2017/10/23	2025/11/18	high
105812	Fedora 27 : python-jwt (2017-0cc84101de)	Nessus	Fedora Local Security Checks	2018/1/15	2025/11/6	high
103439	Fedora 26 : python-jwt (2017-b9f07dfaca)	Nessus	Fedora Local Security Checks	2017/9/25	2025/11/20	high

检测

插件搜索

high

high

high

high

high

high

high

high

high

high

high

high

high

high