There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption
    (JOSE) standards. In 1.6.2 and earlier, a resource exhaustion vulnerability in joserfc allows an
    unauthenticated attacker to cause a Denial of Service (DoS) via CPU exhaustion. When the library decrypts
    a JSON Web Encryption (JWE) token using Password-Based Encryption (PBES2) algorithms, it reads the p2c
    (PBES2 Count) parameter directly from the token's protected header. This parameter defines the number of
    iterations for the PBKDF2 key derivation function. Because joserfc does not validate or bound this value,
    an attacker can specify an extremely large iteration count (e.g., 2^31 - 1), forcing the server to expend
    massive CPU resources processing a single token. This vulnerability exists at the JWA layer and impacts
    all high-level JWE and JWT decryption interfaces if PBES2 algorithms are allowed by the application's
    policy. (CVE-2026-27932)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - joserfc 是一個 Python 程式庫，可提供數個 JSON 物件簽署和加密 (JOSE) 標準的實作。在 1.6.2 和更舊版本中joserfc 中的資源耗盡弱點可讓未經驗證的攻擊者透過 CPU 耗盡造成拒絕服務 (DoS)。當程式庫使用密碼式加密 (PBES2) 演算法解密 JSON Web 加密 (JWE) 權杖時它會直接從權杖的受保護標頭讀取 p2c (PBES2 計數) 參數。此參數定義 PBKDF2 金鑰衍生函式的重複次數。由於 joserfc 未驗證或限制此值攻擊者可指定極大的反覆運算計數 (例如 2^31 - 1)迫使伺服器耗費大量 CPU 資源處理單一 token。此弱點存在於 JWA 層且在應用程式原則允許 PBES2 演算法的情況下會影響所有高階 JWE 和 JWT 解密介面。 (CVE-2026-27932)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，可提供多种 JSON 对象签名和加密 (JOSE) 标准的实现。在 1.6.2 和更早版本中joserfc 内的资源耗尽漏洞允许未经身份验证的攻击者通过 CPU 耗尽造成拒绝服务 (DoS)。当库使用基于密码的加密 (PBES2) 算法解密 JSON Web 加密 (JWE) 标记时会直接从标记受保护的标头读取 p2cPBES2 计数参数。此参数定义 PBKDF2 密钥派生函数的迭代次数。由于 joserfc 并未验证或限制此值因此攻击者可指定极大的迭代计数如 2^31 - 1强制服务器消耗大量 CPU 资源来处理单一 token。JWA 层的此漏洞会影响如果应用程序的策略允许 PBES2 算法所有高级别 JWE 和 JWT 解密接口。 (CVE-2026-27932)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

リモートのopenSUSE 16ホストには、openSUSE-SU-2026:20322-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    python-joserfc の変更

    - CVE-2026-27932際限のない PBKDF2 反復カウントが、サービス拒否を引き起こす可能性がありますbsc#1259154

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - joserfc は、いくつかの JSON Object Signing and Encryption (JOSE) 標準の実装を提供する Python ライブラリです。 1.6.2 以前では、joserfc のリソース枯渇の脆弱性により、認証されていない攻撃者が、CPU 枯渇によってサービス拒否DoSを引き起こす可能性があります。ライブラリが、パスワードベースの暗号化 (PBES2) アルゴリズムを使用して JSON Web Encryption (JWE) トークンを復号化するとき、トークンの保護されたヘッダーから p2c (PBES2 Count) パラメーターを直接読み取ります。このパラメーターは、PBKDF2 鍵導出関数の反復数を定義します。joserfcがこの値を検証またはバインドしないため、攻撃者が非常に大きな繰り返しカウント例2^31-1を指定し、サーバーに単一のトークンを処理するときの大量のCPUリソースを消費させる可能性があります。この脆弱性はJWAレイヤーに存在し、PBES2アルゴリズムがアプリケーションのポリシーにより許可されている場合、すべての高レベルJWEおよびJWT復号化インターフェイスに影響を与えます。CVE-2026-27932

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:20322-1 advisory.

    Changes in python-joserfc:

    - CVE-2026-27932: unbounded PBKDF2 iteration count can lead to a denial of service (bsc#1259154)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption     (JOSE) standards. In 1.6.2 and earlier, a resource exhaustion vulnerability in joserfc allows an     unauthenticated attacker to cause a Denial of Service (DoS) via CPU exhaustion. When the library decrypts     a JSON Web Encryption (JWE) token using Password-Based Encryption (PBES2) algorithms, it reads the p2c     (PBES2 Count) parameter directly from the token's protected header. This parameter defines the number of     iterations for the PBKDF2 key derivation function. Because joserfc does not validate or bound this value,     an attacker can specify an extremely large iteration count (e.g., 2^31 - 1), forcing the server to expend     massive CPU resources processing a single token. This vulnerability exists at the JWA layer and impacts     all high-level JWE and JWT decryption interfaces if PBES2 algorithms are allowed by the application's     policy. (CVE-2026-27932)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
438191	SCA: security update for joserfc (GHSA-w5r5-m38g-f9f9)	Tenable Cloud Security	SCA Checks	2026/3/4	2026/7/2	high
438191	SCA: security update for joserfc (GHSA-w5r5-m38g-f9f9)	Tenable Self-Hosted Container Security	SCA Checks	2026/3/4	2026/7/2	high
300928	Linux Distros 未修補的弱點：CVE-2026-27932	Nessus	Misc.	2026/3/5	2026/7/25	high
300928	Linux Distros 未修补的漏洞：CVE-2026-27932	Nessus	Misc.	2026/3/5	2026/7/25	high
301412	openSUSE 16 セキュリティ更新python-joserfcopenSUSE-SU-2026:20322-1]	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
300928	Linux Distros のパッチ未適用の脆弱性: CVE-2026-27932	Nessus	Misc.	2026/3/5	2026/7/25	high
301412	openSUSE 16 Security Update : python-joserfc (openSUSE-SU-2026:20322-1)	Nessus	SuSE Local Security Checks	2026/3/7	2026/3/7	high
300928	Linux Distros Unpatched Vulnerability : CVE-2026-27932	Nessus	Misc.	2026/3/5	2026/7/25	high

检测

插件搜索

high

high

high

high

high

high

high

high