远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2024:6428 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * automation-controller：Django：QuerySet.values() 和 values_list() 中存在潜在的 SQL 注入漏洞 (CVE-2024-42005)
    * automation-controller：Django：django.utils.html.urlize() 和 AdminURLFieldWidget 中存在潜在的拒绝服务漏洞 (CVE-2024-41991)
    * automation-controller：Django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-41990)
    * automation-controller：python-jose：与 OpenSSH ECDSA 密钥及其他密钥格式的算法混淆 (CVE-2024-33663)
    * automation-controller：python-social-auth：对 social-auth-app-django 中的大小写敏感处理不当 (CVE-2024-32879)
    * automation-controller：通过使用容器组执行作业，获得对 k8s API 服务器的访问权限 (CVE-2024-6840)
    * python3/python39-django：QuerySet.values() 和 values_list() 中存在潜在的 SQL 注入漏洞 (CVE-2024-42005)
    * python3/python39-django：django.utils.html.urlize() 和 AdminURLFieldWidget 中存在潜在的拒绝服务漏洞 (CVE-2024-41991)
    * python3/python39-django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-41990)
    * python3/python39-django：django.utils.numberformat.floatformat() 中存在内存耗尽漏洞 (CVE-2024-41989)
    * python3/python39-django：django.utils.translation.get_supported_language_variant() 中存在潜在的拒绝服务漏洞 (CVE-2024-39614)
    * python3/python39-django：django.core.files.storage.Storage.save() 中存在潜在的目录遍历漏洞 (CVE-2024-39330)
    * python3/python39-django：通过时间差异对具有不可用密码的用户进行用户名枚举 (CVE-2024-39329)
    * python3/python39-django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-38875)
    * python3/python39-grpcio：与 HTTP/2 代理通信的客户端可使代理和后端之间的 HPACK 表中毒 (CVE-2024-7246)
    * python3/python39-zipp：通过构建的 zip 文件造成拒绝服务（无限循环）(CVE-2024-5569)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    针对自动化控制器的更新和修复：
    * 更新了接收器，在 RECEPTOR_KEEP_WORK_ON_ERROR 设置为 true 时不会自动释放接收器工作单位 (AAP-27635)
    * 更新了 REST API 中的帮助链接，以指向最新的 API 参考文档 (AAP-27573)
    * 修复了尝试加载 Activity Stream 时 UI 中的超时错误 (AAP-26772)
    * automation-controller 已更新至 4.5.10

    针对自动化中心的更新和修复：
    * API 浏览器现在会正确转义 JSON 值（AAH-3272，AAP-14463）
    * python3/python39-pulpcore 已更新到 3.28.31
    * python3/python39-pulp-ansible 已更新到 0.20.8

    其他修复：
    * 检查或应用更新时，Gunicorn python 程序包将不再自我淘汰 (AAP-28364)
    * python3/python39-django 已更新到 4.2.15
    * python3/python39-grpcio 已更新到 1.58.3
    * python3/python39-jmespath 已更新到 0.10.0-5
    * python3/python39-zipp 已更新到 3.19.2

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 8 / 9 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:6428 advisory.

    Red Hat Ansible Automation Platform provides an enterprise framework for building, deploying and managing     IT automation at scale. IT Managers can provide top-down guidelines on how automation is applied to     individual teams, while automation developers retain the freedom to write tasks that leverage existing     knowledge without the overhead. Ansible Automation Platform makes it possible for users across an     organization to share, vet, and manage automation content by means of a simple, powerful, and agentless     language.

    Security Fix(es):

    * automation-controller: Django: Potential SQL injection in QuerySet.values() and values_list()     (CVE-2024-42005)
    * automation-controller: Django: Potential denial-of-service vulnerability in django.utils.html.urlize()     and AdminURLFieldWidget (CVE-2024-41991)
    * automation-controller: Django: Potential denial-of-service vulnerability in django.utils.html.urlize()     (CVE-2024-41990)
    * automation-controller: python-jose: algorithm confusion with OpenSSH ECDSA keys and other key formats     (CVE-2024-33663)
    * automation-controller: python-social-auth: Improper Handling of Case Sensitivity in social-auth-app-     django (CVE-2024-32879)
    * automation-controller: Gain access to the k8s API server via job execution with Container Group     (CVE-2024-6840)
    * python3/python39-django: Potential SQL injection in QuerySet.values() and values_list() (CVE-2024-42005)
    * python3/python39-django: Potential denial-of-service vulnerability in django.utils.html.urlize() and     AdminURLFieldWidget (CVE-2024-41991)
    * python3/python39-django: Potential denial-of-service vulnerability in django.utils.html.urlize()     (CVE-2024-41990)
    * python3/python39-django: Memory exhaustion in django.utils.numberformat.floatformat() (CVE-2024-41989)
    * python3/python39-django: Potential denial-of-service in     django.utils.translation.get_supported_language_variant() (CVE-2024-39614)
    * python3/python39-django: Potential directory-traversal in django.core.files.storage.Storage.save()     (CVE-2024-39330)
    * python3/python39-django: Username enumeration through timing difference for users with unusable     passwords (CVE-2024-39329)
    * python3/python39-django: Potential denial-of-service in django.utils.html.urlize() (CVE-2024-38875)
    * python3/python39-grpcio: client communicating with a HTTP/2 proxy can poison the HPACK table between the     proxy and the backend (CVE-2024-7246)
    * python3/python39-zipp: Denial of Service (infinite loop) via crafted zip file (CVE-2024-5569)

    For more details about the security issue(s), including the impact, a CVSS score, acknowledgments, and     other related information, refer to the CVE page(s) listed in the References section.

    Updates and fixes for automation controller:
    * Updated the receptor to not automatically release the receptor work unit when     RECEPTOR_KEEP_WORK_ON_ERROR is set to true (AAP-27635)
    * Updated the Help link in the REST API to point to the latest API Reference documentation (AAP-27573)
    * Fixed a timeout error in the UI when trying to load the Activity Stream (AAP-26772)
    * automation-controller has been updated to 4.5.10

    Updates and fixes for automation hub:
    * API browser now correctly escapes JSON values (AAH-3272, AAP-14463)
    * python3/python39-pulpcore has been updated to 3.28.31
    * python3/python39-pulp-ansible has been updated to 0.20.8

    Additional fixes:
    * Gunicorn python package will no longer obsolete itself when checking for or applying updates (AAP-28364)
    * python3/python39-django has been updated to 4.2.15
    * python3/python39-grpcio has been updated to 1.58.3
    * python3/python39-jmespath has been updated to 0.10.0-5
    * python3/python39-zipp has been updated to 3.19.2

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2024:6428 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * automation-controller：Django：QuerySet.values() 和 values_list() 中潛在的 SQL 插入弱點 (CVE-2024-42005)
    * automation-controller：Django：django.utils.html.urlize() 和 AdminURLFieldWidget 中潛在的拒絕服務弱點 (CVE-2024-41991)
    * automation-controller：Django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-41990)
    * automation-controller：python-jose：OpenSSH ECDSA 金鑰和其他金鑰格式的演算法混淆 (CVE-2024-33663)
    * automation-controller：python-social-auth：social-auth-app-django 中的大小寫區分處理不當 (CVE-2024-32879)
    * automation-controller：透過 Container Group 的工作執行來取得 k8s API 伺服器的存取權 (CVE-2024-6840)
    * python3/python39-django：QuerySet.values() 和 values_list() 中潛在的 SQL 插入弱點 (CVE-2024-42005)
    * python3/python39-django：django.utils.html.urlize() 和 AdminURLFieldWidget 中潛在的拒絕服務弱點 (CVE-2024-41991)
    * python3/python39-django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-41990)
    * python3/python39-django：django.utils.numberformat.floatformat() 中的記憶體耗盡弱點 (CVE-2024-41989)
    * python3/python39-django：django.utils.translation.get_supported_language_variant() 中潛在的拒絕服務弱點 (CVE-2024-39614)
    * python3/python39-django：django.core.files.storage.Storage.save() 中潛在的目錄遊走弱點 (CVE-2024-39330)
    * python3/python39-django：透過時間差對密碼無法使用的使用者列舉使用者名稱 (CVE-2024-39329)
    * python3/python39-django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-38875)
    * python3/python39-grpcio：與 HTTP/2 Proxy 通訊的用戶端可毒害 Proxy 和後端之間的 HPACK 表格 (CVE-2024-7246)
    * python3/python39-zipp：透過特製的 zip 檔案造成拒絕服務 (無限迴圈) (CVE-2024-5569)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    自動化控制器的更新和修復：
    * 將接收器更新為當 RECEPTOR_KEEP_WORK_ON_ERROR 設定為 true 時不會自動釋放接收器工作單位 (AAP-27635)
    * 已更新 REST API 中的「說明」連結，使其指向最新的 API 參照說明文件 (AAP-27573)
    * 修正嘗試載入 Activity Stream 時 UI 中的逾時錯誤 (AAP-26772)
    * 已將 automation-controller 更新至 4.5.10

    自動化中樞的更新和修復：
    * API 瀏覽器現可正確逸出 JSON 值 (AAH-3272、AAP-14463)
    * 已將 python3/python39-pulpcore 更新至 3.28.31
    * 已將 python3/python39-pulp-ansible 更新至 0.20.8

    其他修正：
    * Gunicorn python 套件在檢查或套用更新時不會再自行淘汰 (AAP-28364)
    * 已將 python3/python39-django 更新至 4.2.15
    * 已將 python3/python39-grpcio 更新至 1.58.3
    * 已將 python3/python39-jmespath 更新至 0.10.0-5
    * 已將 python3/python39-zipp 更新至 3.19.2

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:6428 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、企業全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:

    * automation-controller: Django: QuerySet.values() および values_list() における SQL インジェクションの可能性 (CVE-2024-42005)
    * automation-controller: Django: django.utils.html.urlize() および AdminURLFieldWidget におけるサービス拒否の脆弱性の可能性 (CVE-2024-41991)
    * automation-controller: Django: django.utils.html.urlize() におけるサービス拒否の脆弱性の可能性 (CVE-2024-41990)
    * automation-controller: python-jose: OpenSSH ECDSA 鍵およびその他の鍵形式とのアルゴリズムの取り違え (CVE-2024-33663)
    * Automation-controller: python-social-auth: social-auth-app-django における大文字と小文字の区別の不適切な処理 (CVE-2024-32879)
    * Automation-controller: Container Group によるジョブの実行を介した k8s API サーバーへのアクセス (CVE-2024-6840)
    * python3/python39-django: QuerySet.values() および values_list() における SQL インジェクションの可能性 (CVE-2024-42005)
    * python3/python39-django: django.utils.html.urlize() および AdminURLFieldWidget におけるサービス拒否の脆弱性の可能性 (CVE-2024-41991)
    * python3/python39-django: django.utils.html.urlize() におけるサービス拒否の脆弱性の可能性 (CVE-2024-41990)
    * python3/python39-django: django.utils.numberformat.floatformat() におけるメモリ枯渇 (CVE-2024-41989)
    * python3/python39-django: django.utils.translation.get_supported_language_variant() におけるサービス拒否の可能性 (CVE-2024-39614)
    * python3/python39-django: django.core.files.storage.Storage.save() でのディレクトリトラバーサルの可能性 (CVE-2024-39330)
    * python3/python39-django: 使用できないパスワードを持つユーザーに対する、タイミングの違いによるユーザー名の列挙 (CVE-2024-39329)
    * python3/python39-django: django.utils.html.urlize() におけるサービス拒否の可能性 (CVE-2024-38875)
    * python3/python39-grpcio: HTTP/2 プロキシと通信するクライアントが、プロキシとバックエンドの間の HPACK テーブルをポイズニングする可能性 (CVE-2024-7246)
    * python3/python39-zipp: 細工された zip ファイルによるサービス拒否 (無限ループ) (CVE-2024-5569)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    オートメーションコントローラーの更新と修正。
    * RECEPTOR_KEEP_WORK_ON_ERROR が true に設定されている場合に、レセプタがレセプタワークユニットを自動的にリリースしないように更新 (AAP-27635)
    * 最新の API リファレンスドキュメントを参照するように、REST API のヘルプリンクを更新 (AAP-27573)
    * アクティビティストリームをロードしようとするときの UI のタイムアウトエラーを修正 (AAP-26772)
    * automation-controller は 4.5.10 に更新されました

    オートメーションハブの更新と修正。
    * API ブラウザが、JSON 値を適切にエスケープするよう調整 (AAH-3272、AAP-14463)
    * python3/python39-pulpcore を 3.28.31 に更新
    * python3/python39-pulp-ansible を 0.20.8 に更新

    その他の修正
    * Gunicorn python パッケージにおいて、更新を確認または適用時にそれ自体を廃止しないよう変更 (AAP-28364)
    * python3/python39-django を 4.2.15 に更新
    * python3/python39-grpcio を 1.58.3 に更新
    * python3/python39-jmespath を 0.10.0-5 に更新
    * python3/python39-zipp を 3.19.2 に更新

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	Name	Product	Family	Published	Updated	Severity
206781	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2024:6428)	Nessus	Red Hat Local Security Checks	9/9/2024	9/10/2024	critical
206781	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 Product Security and Bug Fix Update (Moderate) (RHSA-2024:6428)	Nessus	Red Hat Local Security Checks	9/9/2024	9/10/2024	critical
206781	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 產品安全性和錯誤修正更新 (中等) (RHSA-2024:6428)	Nessus	Red Hat Local Security Checks	9/9/2024	9/10/2024	critical
206781	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:6428)	Nessus	Red Hat Local Security Checks	9/9/2024	9/10/2024	critical

Detections

Analytics

Plugins Search

critical

critical

critical

critical