The json-jwt gem before 1.11.0 for Ruby lacks an element count during the splitting of a JWE string.

Therefore, there was a need to explicitly specify the number of elements when splitting a JWE string.

For Debian 9 stretch, this problem has been fixed in version 1.6.2-1+deb9u2.

We recommend that you upgrade your ruby-json-jwt packages.

For the detailed security status of ruby-json-jwt please refer to its security tracker page at:
https://security-tracker.debian.org/tracker/ruby-json-jwt

NOTE: Tenable Network Security has extracted the preceding description block directly from the DLA security advisory. Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - The json-jwt gem before 1.11.0 for Ruby lacks an element count during the splitting of a JWE string.
    (CVE-2019-18848)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2025:0004-1 advisory.

    - New upstream release 1.16.6, see bundled CHANGELOG.md

    - Remove padding oracle by @btoews in https://github.com/nov/json-jwt/pull/109
    - Fixes CVE-2023-51774 boo#1220727

    - updated to version 1.11.0
      - no changelog found
      - Fixes CVE-2019-18848 boo#1156649

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Rubyの1.11.0より前のjson-jwt gemに、JWE文字列分割中の要素カウントがありません。

このため、JWE文字列を分割する際には、要素の数を明示的に指定する必要がありました。

Debian 9「Stretch」では、この問題はバージョン1.6.2-1+deb9u2で修正されています。

お使いのruby-json-jwtパッケージをアップグレードすることを推奨します。

ruby-json-jwtの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
https://security-tracker.debian.org/tracker/ruby-json-jwt

注: Tenable Network Securityは、前述の記述ブロックを DLA セキュリティアドバイザリから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Ruby 用の 1.11.0 より前の json-jwt gem には、JWE 文字列の分割中に要素カウントが欠如しています。
    (CVE-2019-18848)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの openSUSE 15 ホストには、openSUSE-SU-2025:0004-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - 新しい Upstream リリース 1.16.6、バンドルされた CHANGELOG.md を参照

    - https://github.com/nov/json-jwt/pull/109 内の @btoews によるパディングオラクルを削除
    - CVE-2023-51774 boo#1220727 の修正

    - バージョン 1.11.0 に更新しました
      - 変更ログが見つかりません
      - CVE-2019-18848 boo#1156649 の修正

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

適用於 Ruby 的 json-jwt gem 1.11.0 之前版本在分割 JWE 字串期間缺少元素計數。

因此，在分割 JWE 字串時，需要明確指定元素數。

針對 Debian 9「Stretch」，已在 1.6.2-1+deb9u2 版本中修正此問題。

建議您升級 ruby-json-jwt 套件。

如需有關 ruby-json-jwt 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/ruby-json-jwt

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 適用於 Ruby 1.11.0 之前的 json-jwt gem 在分割 JWE 字串期間缺少元素計數。
    (CVE-2019-18848)

請注意，Nessus 依賴供應商報告的套件存在。

Ruby 中 1.11.0 之前的 json-jwt gem 在拆分 JWE 字符串时缺少元素计数

因此，拆分 JWE 字符串时，需要明确指定元素数量。

针对 Debian 9 stretch，此问题已在 1.6.2-1+deb9u2 版本中修复。

我们建议您升级 ruby-json-jwt 程序包。

如需了解 ruby-json-jwt 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/ruby-json-jwt

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动清理和排版。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 1.11.0 之前版本的 json-jwt gem 中的 Ruby 在拆分 JWE 字符串时缺少元素计数。
    (CVE-2019-18848)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	Name	Product	Family	Published	Updated	Severity
141132	Debian DLA-2390-1 : ruby-json-jwt security update	Nessus	Debian Local Security Checks	10/5/2020	2/16/2024	high
256920	Linux Distros Unpatched Vulnerability : CVE-2019-18848	Nessus	Misc.	8/27/2025	8/27/2025	high
213542	openSUSE 15 Security Update : rubygem-json-jwt (openSUSE-SU-2025:0004-1)	Nessus	SuSE Local Security Checks	1/8/2025	5/9/2025	high
141132	Debian DLA-2390-1: ruby-json-jwtセキュリティ更新	Nessus	Debian Local Security Checks	10/5/2020	2/16/2024	high
256920	Linux Distros のパッチ未適用の脆弱性: CVE-2019-18848	Nessus	Misc.	8/27/2025	8/27/2025	high
213542	openSUSE 15 セキュリティ更新: rubygem-json-jwt (openSUSE-SU-2025:0004-1)	Nessus	SuSE Local Security Checks	1/8/2025	5/9/2025	high
141132	Debian DLA-2390-1：ruby-json-jwt 安全性更新	Nessus	Debian Local Security Checks	10/5/2020	2/16/2024	high
256920	Linux Distros 未修補的弱點：CVE-2019-18848	Nessus	Misc.	8/27/2025	8/27/2025	high
141132	Debian DLA-2390-1：ruby-json-jwt 安全更新	Nessus	Debian Local Security Checks	10/5/2020	2/16/2024	high
256920	Linux Distros 未修补的漏洞：CVE-2019-18848	Nessus	Misc.	8/27/2025	8/27/2025	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high

high

high

high

high