RHEL 7：ansible（RHSA-2017:1499）

critical Nessus プラグイン ID 100980

Language:

概要

リモートのRed Hatホストにセキュリティ更新プログラムがありません。

説明

ansibleの更新プログラムが、Red Hat Storage Console 2 for Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。セキュリティ修正プログラム：* クライアントシステムから送信されたデータをAnsibleが処理する過程に、入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2017-7466）* Ansibleで入力検証の欠陥が見つかり、lookup-pluginの結果を安全でないものとして適切にマーキングできませんでした。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコードを実行する可能性があります。デフォルトでは、jinja2テンプレート言語は「安全でない」とマークされ、評価されません。（CVE-2017-7481）これらの問題は、Evgeni Golov氏（Red Hat）によって発見されました。

ソリューション

影響を受けるansibleパッケージを更新してください。

参考資料

http://www.nessus.org/u?753eacbe

https://access.redhat.com/errata/RHSA-2017:1499

https://access.redhat.com/security/cve/cve-2017-7466

https://access.redhat.com/security/cve/cve-2017-7481

プラグインの詳細

深刻度: Critical

ID: 100980

ファイル名: redhat-RHSA-2017-1499.nasl

バージョン: 3.15

タイプ: local

エージェント: unix

ファミリー: Red Hat Local Security Checks

公開日: 2017/6/22

更新日: 2022/2/3

サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus