openSUSEセキュリティ更新プログラム：ansible（openSUSE-2020-513）

high Nessus プラグイン ID 135454

Language:

概要

リモートのopenSUSEホストに、セキュリティ更新プログラムがありません。

説明

ansibleをバージョン2.9.6にするこの更新プログラムでは、以下の問題が修正されています：

修正されたセキュリティ問題：

- CVE-2019-14904：細工されたsolarisゾーンによるsolaris_zoneモジュールの脆弱性を修正しました（boo#1157968）。

- CVE-2019-14905：nxos_file_copyモジュール内の悪意のあるコードによってでファイル名が細工される可能性のある問題を修正しました（boo#1157969）。

- CVE-2019-14864：ログ内の機密データを漏洩するSplunkコールバックプラグインとSumologicコールバックプラグインを修正しました（boo#1154830）。

- CVE-2019-14846：表示がDEBUGレベルにハードコードされたことが原因のログ上のシークレット漏洩を修正しました（boo#1153452）

- CVE-2019-14856：CVE-2019-10206の不十分な修正を修正しました（boo#1154232）

- CVE-2019-14858：詳細度を上げて実行した場合にマスクされずに表示されるサブパラメーターフィールド内のデータを修正しました（boo#1154231）

- CVE-2019-10206：ansible-playbook -kツールとansible cliツールは、テンプレートからパスワードを拡張することによってパスワードを要求するため、パスワードに特殊文字が含まれる可能性があります。テンプレートをトリガーして漏洩させないようにするには、パスワードをラップする必要があります。（boo#1142690）

- CVE-2019-10217：機密データを管理するフィールドは、no_log機能に合わせて設定する必要があります。GCPモジュール内のこれらのフィールドの一部が正しく設定されていません。
すべてのgcpモジュールに共通のクラスであるservice_account_contents（）がno_logをTrueに設定していません。この関数によって管理される機密データは、ansibleプレイブックを実行中に出力として漏洩する可能性があります。（boo#1144453）