RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2023:4693)
critical Nessus プラグイン ID 194297
Language:
概要
リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2023:4693 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、企業全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。
セキュリティ修正プログラム：
* Automation-eda-controller: プロジェクトのインポートで公開されたトークン (CVE-2023-4380)
* python3-cryptography/python39-cryptography: 不変オブジェクトによるメモリ破損 (CVE-2023-23931)
- python3-django/python39-django: EmailValidator/URLValidator における正規表現による潜在的なサービス拒否の脆弱性 (CVE-2023-36053)
- python3-requests/python39-requests: Proxy-Authorization ヘッダーの意図しない漏洩 (CVE-2023-32681)
影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。
Event-Driven Ansible の追加変更
* automation-eda-controller は 1.0.1 に更新されました
* 投稿者および編集者ロールは、ユーザーにアクセスして AWX トークンを設定するためのアクセス許可が付与されます。(AAP-11573)
* オンボーディングウィザードが、コントローラートークンの作成をリクエストするようになりました。(AAP-11907)
* ルール監査画面のフィルタリング機能を修正し、検索が次の文字列で始まる機能で結果を出すようになりました。(AAP-11987)
* ルールブックのアクティベーションを有効または無効にしても、再起動カウンターが 1 つ増えません。(AAP-12042)
* テキスト文字列でフィルタリングすると、その時点でリストに表示されていないものも含め、該当するすべてのアイテムが UI に表示されるようになりました。(AAP-12446)
* 複数のジョブでアクティベーションを実行する際に、監査レコードが欠落することがなくなりました。(AAP-12522)
* ジョブテンプレートが失敗したときに、イベントペイロードに重要な属性が欠けることがなくなりました。(AAP-12529)
* プロジェクトのインポートが失敗したときに発生する Git トークンの漏洩を修正しました。(AAP-12767)
* Kubernetes (k8s) の再起動ポリシーは、誤って失敗とマークされているアクティベーションが成功した場合に再起動するようになりました。(AAP-12862)
* アクティベーションステータスが、無効または有効のどちらであるかにかかわらず、正しく報告されるようになりました。(AAP-12896)
* run_job_template アクションが失敗すると、ansible-rulebook はアクティベーション出力にエラーログを出力し、ルール監査にエントリを作成して、ルールが失敗したことをユーザーに警告します。(AAP-12909)
* ユーザーがリストからルールブックのアクティベーションを一括削除しようとする際、リクエストが首尾一貫して正常に完了するようになりました。(AAP-13093)
* ルール監査詳細 UI でルールブックのアクティブ化リンクが正しく機能するようになりました。(AAP-13182)
* コントローラーがルールブックに要求されていないときにコントローラーとの接続が成功しなかった場合に、ansible-rulebook が実行を妨げていたバグを修正しました。(AAP-13209)
* 一部の監査ルールレコードに間違ったルールブックのリンクがあるバグを修正しました。(AAP-13844)
* 最初の 10 個の監査ルールのみ正しいリンクを持つバグを修正しました。(AAP-13845)
* 以前は、プロジェクトで使用される認証情報が変更された場合、プロジェクト認証情報を更新できませんでした。プロジェクト内の認証情報を、新しい認証情報または別の認証情報で更新できるようになりました。(AAP-13983)
* 意思決定環境を作成した後、ナビゲーションパネルのユーザーアクセスセクションが消えなくなりました。(AAP-14273)
* OpenShift Container Platform で監査ルールのフィルタリングが適切に機能しないバグを修正しました。
(AAP-14512)
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
http://www.nessus.org/u?810944f6
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=2171817
https://bugzilla.redhat.com/show_bug.cgi?id=2209469
https://bugzilla.redhat.com/show_bug.cgi?id=2218004
プラグインの詳細
深刻度: Critical
ID: 194297
ファイル名: redhat-RHSA-2023-4693.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2024/4/28
更新日: 2024/11/7
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.2
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: Medium
基本値: 6.5
現状値: 5.1
ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:P/A:P
CVSS スコアのソース: CVE-2023-4380
CVSS v3
リスクファクター: Medium
基本値: 6.5
現状値: 5.9
ベクトル: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS スコアのソース: CVE-2023-23931
CVSS v4
リスクファクター: Critical
Base Score: 9.3
Threat Score: 8.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2023-32681
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:python3-django, p-cpe:/a:redhat:enterprise_linux:python39-django, p-cpe:/a:redhat:enterprise_linux:python3x-cryptography, p-cpe:/a:redhat:enterprise_linux:python3x-django, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:python-django, p-cpe:/a:redhat:enterprise_linux:python3x-requests, p-cpe:/a:redhat:enterprise_linux:python39-cryptography, p-cpe:/a:redhat:enterprise_linux:python39-requests, p-cpe:/a:redhat:enterprise_linux:python-cryptography, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller-ui, p-cpe:/a:redhat:enterprise_linux:python3-cryptography, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller-server
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2023/8/21
脆弱性公開日: 2023/2/7
参照情報
CVE: CVE-2023-23931, CVE-2023-32681, CVE-2023-36053, CVE-2023-4380