Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - JOSE 是 JSON Web 几乎所有内容 - 在 Node.js、Browser、Cloudflare Workers、Electron 和 Deno 中使用运行时的本机加密没有任何依存关系的 JWA、JWS、JWE、JWT、JWK、JWKS。基于 PBKDF2 的 JWE 密钥管理算法预期存在名为“p2c”PBES2 计数的 JOSE 标头参数该参数确定必须执行多少 PBKDF2 迭代才能派生 CEK 封装密钥。此参数的目的是故意减慢密钥导出函数的运行速度从而使密码暴力破解和字典攻击的成本更高。这使得 PBES2 算法不适合 JWE 来自不受信任的来源的情况攻击者可以故意选择非常高的 PBES2 计数值这将启动 CPU 密集型计算可能需要不合理的时间才能完成。
    在某些情况下用户环境可能消耗不合理的 CPU 时间。影响仅影响到使用 JWE 解密 API 通过对称密钥对来自不受信任方的 JWE 进行解密的用户未使用“keyManagementAlgorithms”或 v1 中的“algorithms”来限制接受的 JWE 密钥管理算法“alg”标头参数。 .x通过其他方式解密选项或。“v1.28.2”、“v2.0.6”、“v3.20.4”和“v4.9.2”版本默认将 PBKDF2 最大迭代计数限制为“10000”。可以通过新引入的“maxPBES2Count”解密选项来调整此限制。如果用户无法升级所需的库版本，根据是否预期收到使用三种基于 PBKDF2 的 JWE 密钥管理算法中任意一种的 JWE，他们有两种选择。恶意攻击者可使用“keyManagementAlgorithms”解密选项来完全禁止接受 PBKDF2或者可在使用解密 API 之前检查 JOSE 标头并限制 PBKDF2 迭代计数“p2c”标头参数。 (CVE-2022-36083)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - JOSE 是 JSON Web Almost Everyone - JWA、JWS、JWE、JWT、JWK、JWKS 在 Node.js、Browser、Cloudflare Workers、Electron 和 Deno 中使用運行時間的原生 crypto。PBKDF2 型 JWE 金鑰管理演算法預期名稱為 `p2c` PBES2 計數的 JOSE 標頭參數決定了必須執行多少次 PBKDF2 反覆運算才能衍生 CEK 包裝金鑰。此參數的用途是刻意減慢金鑰衍生功能的速度，以使密碼暴力密碼破解和字典攻擊的代價更為昂貴。這會使 PBES2 演算法不適用於 JWE 來自未受信任來源的情況攻擊者可刻意挑選一個極高的 PBES2 Count 值這將啟動佔用大量 CPU 的計算並可能花不合理的時間完成。
    在某些情況下使用者的環境可消耗不合理的 CPU 時間。影響只會影響利用 JWE 解密 API (含對稱密碼) 來解密來自未受信任之方的 JWE且不會限制使用「keyManagementAlgorithms」 (或在 v1 中為「algorithms」) 的 JWE 金鑰管理演算法 (「alg」標頭參數) 的使用者。 .x) 解密選項或透過其他方式。`v1.28.2`、`v2.0.6`、`v3.20.4` 和 `v4.9.2` 版本預設將最大 PBKDF2 反覆數計數限制為 `10000`。可以使用新引入的 `maxPBES2Count` 解密選項調整此限制。如果使用者無法升級其所需的程式庫版本取決於他們是否預期使用三種 PBKDF2 型 JWE 金鑰管理演算法中的任何一種來接收 JWE有兩個選擇。他們可以使用 `keyManagementAlgorithms` 解密選項來完全停用接受 PBKDF2或者他們可以在使用解密 API 之前檢查 JOSE 標頭並限制 PBKDF2 重複計數 (`p2c` 標頭參數)。 (CVE-2022-36083)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - JOSE は、Node.js、Browser、Cloudflare Workers、Electron、Deno でランタイムのネイティブ暗号を使用する依存関係のない JWA、JWS、JWE、JWT、JWK、JWKS です。PBKDF2 ベースの JWE 鍵管理アルゴリズムは、「p2c」PBES2 Count という名前の JOSE ヘッダーパラメーターを予期します。これは、CEK ラッピングキーを派生するために実行する必要のある PBKDF2 の反復数を決定します。このパラメーターの目的は、パスワードブルートフォースおよび辞書攻撃をより高額なものにするために、鍵派生関数を意図的に遅くすることです。これにより、PBES2 アルゴリズムは、JWE が信頼できないソースから送信されている状況に不適切になります。攻撃者は、非常に高い PBES2 Count 値を意図的に選択することができ、これにより CPU 境界計算が開始され、完了するまでに不当な時間がかかる可能性があります。
    特定の状況下で、ユーザーの環境に不当な量の CPU 時間を消費させることが可能です。影響は、JWE 復号化 API を使用して信頼できない当事者から JWE を復号化し、「keyManagementAlgorithms」または v1 の「algorithms」を使用して受け入れられる JWE 鍵管理アルゴリズム「alg」ヘッダーパラメーターを制限しないユーザーにのみ、 .x) 復号化オプションを介して、任意のファイルを読み取ることができます。「v1.28.2」、「v2.0.6」、「v3.20.4」、および「v4.9.2」リリースは、デフォルトで、最大 PBKDF2 反復カウントを「10000」に制限します。新しく導入された「maxPBES2Count」復号化オプションでこの制限を調整できます。ユーザーが必要なライブラリバージョンをアップグレードできない場合、3 つの PBKDF2 ベースの JWE 鍵管理アルゴリズムのいずれかを使用して JWE を受け取るかどうかによって、2 つのオプションがあります。「keyManagementAlgorithms」復号化オプションを使用して、PBKDF2 を一括で受け入れることを無効にするか、復号化 API を使用する前に JOSE ヘッダーを検査して、PBKDF2 の反復カウントを制限できます「p2c」ヘッダーパラメーター。CVE-2022-36083

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - JOSE is JSON Web Almost Everything - JWA, JWS, JWE, JWT, JWK, JWKS with no dependencies using runtime's     native crypto in Node.js, Browser, Cloudflare Workers, Electron, and Deno. The PBKDF2-based JWE key     management algorithms expect a JOSE Header Parameter named `p2c` PBES2 Count, which determines how many     PBKDF2 iterations must be executed in order to derive a CEK wrapping key. The purpose of this parameter is     to intentionally slow down the key derivation function in order to make password brute-force and     dictionary attacks more expensive. This makes the PBES2 algorithms unsuitable for situations where the JWE     is coming from an untrusted source: an adversary can intentionally pick an extremely high PBES2 Count     value, that will initiate a CPU-bound computation that may take an unreasonable amount of time to finish.
    Under certain conditions, it is possible to have the user's environment consume unreasonable amount of CPU     time. The impact is limited only to users utilizing the JWE decryption APIs with symmetric secrets to     decrypt JWEs from untrusted parties who do not limit the accepted JWE Key Management Algorithms (`alg`     Header Parameter) using the `keyManagementAlgorithms` (or `algorithms` in v1.x) decryption option or     through other means. The `v1.28.2`, `v2.0.6`, `v3.20.4`, and `v4.9.2` releases limit the maximum PBKDF2     iteration count to `10000` by default. It is possible to adjust this limit with a newly introduced     `maxPBES2Count` decryption option. If users are unable to upgrade their required library version, they     have two options depending on whether they expect to receive JWEs using any of the three PBKDF2-based JWE     key management algorithms. They can use the `keyManagementAlgorithms` decryption option to disable     accepting PBKDF2 altogether, or they can inspect the JOSE Header prior to using the decryption API and     limit the PBKDF2 iteration count (`p2c` Header Parameter). (CVE-2022-36083)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
256885	Linux Distros 未修补的漏洞：CVE-2022-36083	Nessus	Misc.	2025/8/27	2026/4/28	medium
256885	Linux Distros 未修補的弱點：CVE-2022-36083	Nessus	Misc.	2025/8/27	2026/4/28	medium
256885	Linux Distros のパッチ未適用の脆弱性: CVE-2022-36083	Nessus	Misc.	2025/8/27	2026/4/28	medium
256885	Linux Distros Unpatched Vulnerability : CVE-2022-36083	Nessus	Misc.	2025/8/27	2026/4/28	medium

检测

插件搜索

medium

medium

medium

medium