Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - joserfc 是一个 Python 库，提供多个 JSON 对象签名和加密 （JOSE） 标准的实现。在版本 1.7.1 和以前版本中，joserfc 接受带有尾部填充 （==） 的不符合 JOSE 规范的 JWT。这导致 JWT 在被 joserfc 消耗时具有延展性。视此应用程序而定，这可能是问题，也可能不是问题。当实现为标记的拒绝列表或标记哈希的拒绝列表时，这可导致绕过标记吊销或防重放保护。请注意，由于 ECDSA 签名的可延展性，ECDSA JWS 始终具有延展性（下面代码中的第一个测试用例）。这导致假定 JWT 不可延展的方案变脆。
    然而，对于其他签名（或 MAC）方案，假设标记的非延展性可能是合理的。
    此问题已在 1.7.2 版本中修复。(CVE-2026-62995)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - joserfc 是一個 Python 函式庫，提供數個 JSON 物件簽署和加密 （JOSE） 標準的實作。在版本和之前的版本 1.7.1 中，JOSERFC 接受不符合 JOSE 規格的尾端填充 （==） 的 JWT。這導致 JWT 在被 joserfc 消耗時具有延展性。根據此應用程序的不同，這可能是問題，也可能不是問題。當實作為權杖的拒絕清單或權杖雜湊的拒絕清單時，這可能會導致繞過權杖撤銷或反重播保護。請注意，由於 ECDSA 簽名的延展性，ECDSA JWS 始終具有延展性（下面程式碼中的第一個測試用例）。這使得假設 JWT 不可延展的方案變得脆弱。
    但是，對於其他簽名（或 MAC）配置，假設令牌的不可延展性可能是有意義的。
    1.7.2 版已修正此問題。(CVE-2026-62995)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - joserfc は、いくつかの JSON Object Signing and Encryption(JOSE)標準の実装を提供する Python ライブラリです。 1.7.1 以前のバージョンにおいて、joserfc は、JOSE 仕様に適合していない、末尾のパディング(==)付きの JWT を受け入れます。これは、joserfc によって消費されたときの JWT の展性につながります。このアプリケーションによっては、これが問題になる場合とそうでない場合があります。これにより、トークンの拒否リストまたはトークンハッシュの拒否リストとして実装された場合、トークン失効またはアンチリプレイ保護がバイパスされる可能性があります。ECDSA JWS は、ECDSA 署名の順応性により、常に順応性があることに注意してください (以下のコードの最初のテスト ケース)。これにより、JWTは可鍛性がないと仮定するスキームが脆くなります。
    しかし、他の署名(または MAC)スキームでは、トークンの非適応性を想定するのが理にかなっているかもしれません。
    この問題はバージョン 1.7.2で修正されています。(CVE-2026-62995)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートのopenSUSE 16ホストには、openSUSE- SU-2026:21515-1アドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    python-joserfc の変更点:

    - CVE-2026-62995:末尾のパディングを持つ JWT を受け入れることで、JWTの適応性につながり、トークン取消とアンチリプレイ保護のバイパスが可能になります(bsc#1272991)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - joserfc is a Python library that provides an implementation of several JSON Object Signing and Encryption     (JOSE) standards. in versions 1.7.1 and prior, joserfc accepts JWTs with trailing padding (==) which are     not conforming to the JOSE specifications. This leads to malleability of the JWTs when consumed by     joserfc. Depending on this application this might or not be an issue. This could lead to bypass of token     revocation or anti-replay protection when implemented as a deny list of tokens or a deny list of token     hashes. Note that ECDSA JWS are always malleable because of the malleability of ECDSA signatures (first     test case in the code bellow). This makes a scheme which assumes that JWTs are not malleable brittle.
    However for other signatures (or MAC) schemes it might make sense to assume non malleability of the token.
    This issue has been fixed in version 1.7.2. (CVE-2026-62995)

Note that Nessus relies on the presence of the package as reported by the vendor.

The remote openSUSE 16 host has a package installed that is affected by a vulnerability as referenced in the openSUSE- SU-2026:21515-1 advisory.

    Changes in python-joserfc:

    - CVE-2026-62995: acceptance of JWTs with trailing padding can lead to JWT       malleability and allows for bypass of token revocation and anti-replay       protection (bsc#1272991)

Tenable has extracted the preceding description block directly from the SUSE security advisory.

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

ID	Name	Product	Family	Published	Updated	Severity
330760	Linux Distros 未修补的漏洞：CVE-2026-62995	Nessus	Misc.	7/29/2026	7/30/2026	low
330760	Linux Distros 未修補弱點：CVE-2026-62995	Nessus	Misc.	7/29/2026	7/30/2026	low
330760	Linux Distros のパッチ未適用の脆弱性: CVE-2026-62995	Nessus	Misc.	7/29/2026	7/30/2026	low
331668	openSUSE 16 セキュリティ更新:python-joserfc(openSUSE-SU-2026:21515-1)	Nessus	SuSE Local Security Checks	8/3/2026	8/3/2026	low
330760	Linux Distros Unpatched Vulnerability : CVE-2026-62995	Nessus	Misc.	7/29/2026	7/30/2026	low
331668	openSUSE 16 Security Update : python-joserfc (openSUSE-SU-2026:21515-1)	Nessus	SuSE Local Security Checks	8/3/2026	8/3/2026	low

Detections

Analytics

Plugins Search

low

low

low

low

low

low