Canonicalは2026年10月13日、PyJWTの脆弱性6件を修正するセキュリティ通知「USN-8916-1」を公表しました。認証に使うトークンの偽造や機密情報漏えいにつながる恐れがあり、指定の修正版パッケージへのシステム更新を案内しています。Ubuntuの版によって対象となる脆弱性が異なるため、利用環境とパッケージの確認が必要です。
認証トークンの偽造と機密情報漏えいの恐れ
PyJWTは、認証情報などを扱うJSON Web TokenをPython 3で実装したものです。今回の修正対象は、脆弱性の識別番号であるCVEが付いた6件です。
「CVE-2026-102266」は、HMACという認証方式で検証する際、一部のJWK形式の鍵を正しく検証できない不備です。Canonicalは認証トークン偽造の恐れを挙げています。この脆弱性の影響対象はUbuntu 26.04 LTSのみです。
「CVE-2026-102267」は、鍵セットを取得する際のリダイレクト、つまり別の取得先への転送処理の不備です。遠隔から機密情報が漏れる恐れがあり、対象はUbuntu 22.04／24.04／26.04 LTSのみです。
残る4件は、鍵の表現や形式の扱いに関する不備です。「CVE-2026-102268」は一部のPEM表現の誤認識、「CVE-2026-102271」はHMAC検証時のDER公開鍵の処理、「CVE-2026-102272」はバイト順マーク付きの一部JWK鍵の処理、「CVE-2026-102273」はHMAC検証時の一部JWKコンテナの処理に問題があります。Canonicalによると、これら4件では公開鍵を知る攻撃者が認証トークンを偽造する恐れがあります。
Ubuntuの版ごとに修正版を照合する
Canonicalが示した修正版は次のとおりです。同じPyJWTでも、Ubuntuの版によってパッケージの版番号が異なります。
- Ubuntu 26.04 LTS：
python3-jwt 2.10.1-4ubuntu1.2
- Ubuntu 24.04 LTS：
python3-jwt 2.7.0-1ubuntu0.3
- Ubuntu 22.04 LTS：
python3-jwt 2.3.0-1ubuntu0.5
- Ubuntu 20.04 LTS：
python3-jwt 1.7.1-2ubuntu2.1+esm3
- Ubuntu 18.04 LTS：
python-jwtとpython3-jwtのいずれも1.5.3+ds1-1ubuntu0.1+esm3
- Ubuntu 16.04 LTS：
python-jwtとpython3-jwtのいずれも1.3.0-1ubuntu0.1+esm3
Ubuntu 16.04 LTSも修正版の一覧に含まれます。ただし、今回の資料では、同版に対応する個別のCVEとの関係は明示されていません。修正版が掲載されていることと、6件すべての影響を受けることは分けて確認してください。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 上記のUbuntuで対象のJWTパッケージを利用している会社は、修正版への更新状況を確認する対象です。OSの版だけで判断せず、パッケージ名も照合してください。
- 影響する: Ubuntu 26.04 LTSを使う会社はCVE-2026-102266、Ubuntu 22.04／24.04／26.04 LTSを使う会社はCVE-2026-102267の対象条件に当たります。
- 影響する: CVE-2026-102268はUbuntu 18.04／20.04／22.04／24.04／26.04 LTSが対象です。
- 影響しない: Ubuntu 26.04 LTS以外はCVE-2026-102266、Ubuntu 22.04／24.04／26.04 LTS以外はCVE-2026-102267の対象として挙げられていません。ただし、今回の修正全体で影響がないという意味ではありません。
- 影響しない: 6件すべてについて影響しない会社を一括で判定できる条件は、発表には書かれていません。
情シスが今日やること
- 今日の確認対象として、IT資産台帳やサーバーの管理画面にあるOS情報からUbuntuの版を洗い出します。対象サーバーの管理担当者も併せて記録してください。
- 各サーバーのパッケージ管理情報で、
python-jwtとpython3-jwtの有無と導入済みの版を確認します。上記の修正版と照合し、未確認と更新済みを分けて一覧にします。
- アプリ担当者や委託先に「USN-8916-1」と対象サーバーの一覧を送り、PyJWTの利用箇所と認証処理への関係を確認してもらいます。今日中に回答担当者と確認期限を決めることを勧めます。
- 更新が必要な環境は、運用担当者と適用日を決め、Canonicalが案内する修正版へ更新します。適用後はパッケージの版を再確認し、アプリ担当者と認証処理の動作を確認して、結果を一覧に残してください。
