RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:3781)

high Nessus プラグイン ID 200272

概要

リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。

説明

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:3781 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

セキュリティ修正プログラム:

* automation-controller: aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
* automation-controller: Django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)
* automation-controller: pip: pip 経由のインストール時にリポジトリリビジョンに挿入可能なメトリクス設定 (CVE-2023-5752)
* automation-controller: pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
* automation-hub, python3/python39-galaxy-ng: follow-redirects: 資格情報漏洩の可能性 (CVE-2024-28849)
* python3/python39-aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
* python3/python39-aiohttp: 静的ファイル処理のためのインデックスページの XSS (CVE-2024-27306)
* python3/python39-black: strings.py ファイル内の lines_with_leading_tabs_expanded() 関数を介した ReDoS (CVE-2024-21503)
* python3/python39-cryptography: 一致しない証明書と秘密鍵、ならびに hmac_hash オーバーライドで呼び出された場合の、pkcs12.serialize_key_and_certificates による NULL ポインターデリファレンス (CVE-2024-26130)
* python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
* python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
* python3/python39-gunicorn: Transfer-Encoding ヘッダーの不適切な検証による HTTP リクエストのスマグリング (CVE-2024-1135)
* python3/python39-idna: idna.encode() への特別に細工された入力によるリソース消費で潜在的な DoS (CVE-2024-3651)
* python3/python39-jinja2: 非属性文字を含むキーを受け入れます (CVE-2024-34064)
* python3/python39-pillow: _imagingcms.c のバッファオーバーフロー (CVE-2024-28219)
* python3/python39-pillow: 環境パラメーターによる任意のコードの実行 (CVE-2023-50447)
* python3/python39-pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
* python3/python39-requests: 同じホストに対する後続のリクエストは証明書の検証を無視 (CVE-2024-35195)
* python3/python39-social-auth-app-django: social-auth-app-django における大文字と小文字の区別の不適切な処理 (CVE-2024-32879)
* python3/python39-sqlparse: 重くネスト化されたリストの解析により引き起こされるサービス拒否 (CVE-2024-4340)
* receptor: golang: crypto/x509: 不明な公開鍵アルゴリズムによる証明書のパニックの検証 (CVE-2024-24783)
* receptor: golang: net/http、x/net/http2: 無制限の数の CONTINUATION フレームが DoS を引き起こします (CVE-2023-45288)
* receptor: golang: net/http: Request.ParseMultipartForm におけるメモリ枯渇 (CVE-2023-45290)

影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

オートメーションコントローラーの更新と修正。
* バージョン 4.5.6 の修正済み Redis 接続漏洩 (AAP-24286)
* automation-controller は 4.5.7 に更新されました

オートメーションハブの更新と修正。
* 修正済みのリポジトリ同期の問題 (AAH-3111、AAH-3218)
* automation-hub/python3-galaxy-ng/python39-galaxy-ng は 4.9.2 に更新されました

追加の変更
* ansible-core は 2.15.11 に更新されました
* automation-eda-controller は 1.0.7 に更新されました
* インストーラーとセットアップが 2.4-7 に更新されました
* receptor は 1.4.8 に更新されました

このリリースに含まれる更新と修正の詳細については、リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ソリューション

影響を受けるパッケージを更新してください。

参考資料

https://access.redhat.com/security/updates/classification/#moderate

https://bugzilla.redhat.com/show_bug.cgi?id=2250765

https://bugzilla.redhat.com/show_bug.cgi?id=2255331

https://bugzilla.redhat.com/show_bug.cgi?id=2259479

https://bugzilla.redhat.com/show_bug.cgi?id=2266045

https://bugzilla.redhat.com/show_bug.cgi?id=2268017

https://bugzilla.redhat.com/show_bug.cgi?id=2268019

https://bugzilla.redhat.com/show_bug.cgi?id=2268273

https://bugzilla.redhat.com/show_bug.cgi?id=2269576

https://bugzilla.redhat.com/show_bug.cgi?id=2269617

https://bugzilla.redhat.com/show_bug.cgi?id=2270236

https://bugzilla.redhat.com/show_bug.cgi?id=2272563

https://bugzilla.redhat.com/show_bug.cgi?id=2274779

https://bugzilla.redhat.com/show_bug.cgi?id=2275106

https://bugzilla.redhat.com/show_bug.cgi?id=2275280

https://bugzilla.redhat.com/show_bug.cgi?id=2275989

https://bugzilla.redhat.com/show_bug.cgi?id=2277035

https://bugzilla.redhat.com/show_bug.cgi?id=2278038

https://bugzilla.redhat.com/show_bug.cgi?id=2278710

https://bugzilla.redhat.com/show_bug.cgi?id=2279476

https://bugzilla.redhat.com/show_bug.cgi?id=2282114

https://issues.redhat.com/browse/AAH-3111

https://issues.redhat.com/browse/AAP-22461

http://www.nessus.org/u?83d655b3

https://access.redhat.com/errata/RHSA-2024:3781

プラグインの詳細

深刻度: High

ID: 200272

ファイル名: redhat-RHSA-2024-3781.nasl

バージョン: 1.2

タイプ: local

エージェント: unix

公開日: 2024/6/10

更新日: 2024/11/7

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus

リスク情報

VPR

リスクファクター: Medium

スコア: 5.9

Vendor

Vendor Severity: Moderate

CVSS v2

リスクファクター: High

基本値: 7.6

現状値: 6

ベクトル: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C

CVSS スコアのソース: CVE-2023-50447

CVSS v3

リスクファクター: High

基本値: 8.1

現状値: 7.3

ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C

CVSS v4

リスクファクター: High

Base Score: 8.9

Threat Score: 8.9

Threat Vector: CVSS:4.0/E:P

Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CVSS スコアのソース: CVE-2023-49083

脆弱性情報

CPE: p-cpe:/a:redhat:enterprise_linux:python3-requests, p-cpe:/a:redhat:enterprise_linux:python3x-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-black, p-cpe:/a:redhat:enterprise_linux:python3-pydantic, p-cpe:/a:redhat:enterprise_linux:python3x-idna, p-cpe:/a:redhat:enterprise_linux:python3x-black, p-cpe:/a:redhat:enterprise_linux:python-pillow, p-cpe:/a:redhat:enterprise_linux:python-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:python3x-cryptography, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:python3x-requests, p-cpe:/a:redhat:enterprise_linux:python-black, p-cpe:/a:redhat:enterprise_linux:python3x-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:receptor, p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower, p-cpe:/a:redhat:enterprise_linux:python-jinja2, p-cpe:/a:redhat:enterprise_linux:python-requests, p-cpe:/a:redhat:enterprise_linux:python39-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3x-jinja2, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:python-sqlparse, p-cpe:/a:redhat:enterprise_linux:python3x-pydantic, p-cpe:/a:redhat:enterprise_linux:python3-sqlparse, p-cpe:/a:redhat:enterprise_linux:python3x-sqlparse, p-cpe:/a:redhat:enterprise_linux:python39-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3-pillow, p-cpe:/a:redhat:enterprise_linux:python39-gunicorn, p-cpe:/a:redhat:enterprise_linux:python39-requests, p-cpe:/a:redhat:enterprise_linux:python3x-gunicorn, p-cpe:/a:redhat:enterprise_linux:python39-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:python39-sqlparse, p-cpe:/a:redhat:enterprise_linux:python39-jinja2, p-cpe:/a:redhat:enterprise_linux:receptorctl, p-cpe:/a:redhat:enterprise_linux:python3-cryptography, p-cpe:/a:redhat:enterprise_linux:python-gunicorn, p-cpe:/a:redhat:enterprise_linux:python3-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:python39-black, p-cpe:/a:redhat:enterprise_linux:python39-cryptography, p-cpe:/a:redhat:enterprise_linux:python39-idna, p-cpe:/a:redhat:enterprise_linux:python39-pillow, p-cpe:/a:redhat:enterprise_linux:python-cryptography, p-cpe:/a:redhat:enterprise_linux:python3x-pillow, p-cpe:/a:redhat:enterprise_linux:automation-hub, p-cpe:/a:redhat:enterprise_linux:python-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3-jinja2, p-cpe:/a:redhat:enterprise_linux:python39-pydantic, p-cpe:/a:redhat:enterprise_linux:python-pydantic, p-cpe:/a:redhat:enterprise_linux:python-idna, p-cpe:/a:redhat:enterprise_linux:python3x-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3-idna, p-cpe:/a:redhat:enterprise_linux:python-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-gunicorn

必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu

エクスプロイトが利用可能: true

エクスプロイトの容易さ: Exploits are available

パッチ公開日: 2024/6/10

脆弱性公開日: 2023/10/25

参照情報

CVE: CVE-2023-45288, CVE-2023-45290, CVE-2023-49083, CVE-2023-50447, CVE-2023-5752, CVE-2024-1135, CVE-2024-21503, CVE-2024-24783, CVE-2024-26130, CVE-2024-27306, CVE-2024-27351, CVE-2024-28219, CVE-2024-28849, CVE-2024-30251, CVE-2024-32879, CVE-2024-34064, CVE-2024-35195, CVE-2024-3651, CVE-2024-3772, CVE-2024-4340

CWE: 120, 1333, 20, 200, 303, 400, 444, 476, 670, 674, 77, 79, 80, 835

RHSA: 2024:3781