RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:3781)
high Nessus プラグイン ID 200272
Language:
概要
リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:3781 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。
セキュリティ修正プログラム:
* automation-controller: aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
* automation-controller: Django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)
* automation-controller: pip: pip 経由のインストール時にリポジトリリビジョンに挿入可能なメトリクス設定 (CVE-2023-5752)
* automation-controller: pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
* automation-hub, python3/python39-galaxy-ng: follow-redirects: 資格情報漏洩の可能性 (CVE-2024-28849)
* python3/python39-aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
* python3/python39-aiohttp: 静的ファイル処理のためのインデックスページの XSS (CVE-2024-27306)
* python3/python39-black: strings.py ファイル内の lines_with_leading_tabs_expanded() 関数を介した ReDoS (CVE-2024-21503)
* python3/python39-cryptography: 一致しない証明書と秘密鍵、ならびに hmac_hash オーバーライドで呼び出された場合の、pkcs12.serialize_key_and_certificates による NULL ポインターデリファレンス (CVE-2024-26130)
* python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
* python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
* python3/python39-gunicorn: Transfer-Encoding ヘッダーの不適切な検証による HTTP リクエストのスマグリング (CVE-2024-1135)
* python3/python39-idna: idna.encode() への特別に細工された入力によるリソース消費で潜在的な DoS (CVE-2024-3651)
* python3/python39-jinja2: 非属性文字を含むキーを受け入れます (CVE-2024-34064)
* python3/python39-pillow: _imagingcms.c のバッファオーバーフロー (CVE-2024-28219)
* python3/python39-pillow: 環境パラメーターによる任意のコードの実行 (CVE-2023-50447)
* python3/python39-pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
* python3/python39-requests: 同じホストに対する後続のリクエストは証明書の検証を無視 (CVE-2024-35195)
* python3/python39-social-auth-app-django: social-auth-app-django における大文字と小文字の区別の不適切な処理 (CVE-2024-32879)
* python3/python39-sqlparse: 重くネスト化されたリストの解析により引き起こされるサービス拒否 (CVE-2024-4340)
* receptor: golang: crypto/x509: 不明な公開鍵アルゴリズムによる証明書のパニックの検証 (CVE-2024-24783)
* receptor: golang: net/http、x/net/http2: 無制限の数の CONTINUATION フレームが DoS を引き起こします (CVE-2023-45288)
* receptor: golang: net/http: Request.ParseMultipartForm におけるメモリ枯渇 (CVE-2023-45290)
影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。
オートメーションコントローラーの更新と修正。
* バージョン 4.5.6 の修正済み Redis 接続漏洩 (AAP-24286)
* automation-controller は 4.5.7 に更新されました
オートメーションハブの更新と修正。
* 修正済みのリポジトリ同期の問題 (AAH-3111、AAH-3218)
* automation-hub/python3-galaxy-ng/python39-galaxy-ng は 4.9.2 に更新されました
追加の変更
* ansible-core は 2.15.11 に更新されました
* automation-eda-controller は 1.0.7 に更新されました
* インストーラーとセットアップが 2.4-7 に更新されました
* receptor は 1.4.8 に更新されました
このリリースに含まれる更新と修正の詳細については、リリースノートを参照してください。
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるパッケージを更新してください。参考資料
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=2250765
https://bugzilla.redhat.com/show_bug.cgi?id=2255331
https://bugzilla.redhat.com/show_bug.cgi?id=2259479
https://bugzilla.redhat.com/show_bug.cgi?id=2266045
https://bugzilla.redhat.com/show_bug.cgi?id=2268017
https://bugzilla.redhat.com/show_bug.cgi?id=2268019
https://bugzilla.redhat.com/show_bug.cgi?id=2268273
https://bugzilla.redhat.com/show_bug.cgi?id=2269576
https://bugzilla.redhat.com/show_bug.cgi?id=2269617
https://bugzilla.redhat.com/show_bug.cgi?id=2270236
https://bugzilla.redhat.com/show_bug.cgi?id=2272563
https://bugzilla.redhat.com/show_bug.cgi?id=2274779
https://bugzilla.redhat.com/show_bug.cgi?id=2275106
https://bugzilla.redhat.com/show_bug.cgi?id=2275280
https://bugzilla.redhat.com/show_bug.cgi?id=2275989
https://bugzilla.redhat.com/show_bug.cgi?id=2277035
https://bugzilla.redhat.com/show_bug.cgi?id=2278038
https://bugzilla.redhat.com/show_bug.cgi?id=2278710
https://bugzilla.redhat.com/show_bug.cgi?id=2279476
https://bugzilla.redhat.com/show_bug.cgi?id=2282114
https://issues.redhat.com/browse/AAH-3111
https://issues.redhat.com/browse/AAP-22461
プラグインの詳細
深刻度: High
ID: 200272
ファイル名: redhat-RHSA-2024-3781.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2024/6/10
更新日: 2024/11/7
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Medium
スコア: 5.9
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: High
基本値: 7.6
現状値: 6
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2023-50447
CVSS v3
リスクファクター: High
基本値: 8.1
現状値: 7.3
ベクトル: CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
現状ベクトル: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
リスクファクター: High
Base Score: 8.9
Threat Score: 8.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS スコアのソース: CVE-2023-49083
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:python3-requests, p-cpe:/a:redhat:enterprise_linux:python3x-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-black, p-cpe:/a:redhat:enterprise_linux:python3-pydantic, p-cpe:/a:redhat:enterprise_linux:python3x-idna, p-cpe:/a:redhat:enterprise_linux:python3x-black, p-cpe:/a:redhat:enterprise_linux:python-pillow, p-cpe:/a:redhat:enterprise_linux:python-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:python3x-cryptography, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:python3x-requests, p-cpe:/a:redhat:enterprise_linux:python-black, p-cpe:/a:redhat:enterprise_linux:python3x-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:receptor, p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower, p-cpe:/a:redhat:enterprise_linux:python-jinja2, p-cpe:/a:redhat:enterprise_linux:python-requests, p-cpe:/a:redhat:enterprise_linux:python39-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3x-jinja2, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:python-sqlparse, p-cpe:/a:redhat:enterprise_linux:python3x-pydantic, p-cpe:/a:redhat:enterprise_linux:python3-sqlparse, p-cpe:/a:redhat:enterprise_linux:python3x-sqlparse, p-cpe:/a:redhat:enterprise_linux:python39-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3-pillow, p-cpe:/a:redhat:enterprise_linux:python39-gunicorn, p-cpe:/a:redhat:enterprise_linux:python39-requests, p-cpe:/a:redhat:enterprise_linux:python3x-gunicorn, p-cpe:/a:redhat:enterprise_linux:python39-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:python39-sqlparse, p-cpe:/a:redhat:enterprise_linux:python39-jinja2, p-cpe:/a:redhat:enterprise_linux:receptorctl, p-cpe:/a:redhat:enterprise_linux:python3-cryptography, p-cpe:/a:redhat:enterprise_linux:python-gunicorn, p-cpe:/a:redhat:enterprise_linux:python3-galaxy-ng, p-cpe:/a:redhat:enterprise_linux:python39-black, p-cpe:/a:redhat:enterprise_linux:python39-cryptography, p-cpe:/a:redhat:enterprise_linux:python39-idna, p-cpe:/a:redhat:enterprise_linux:python39-pillow, p-cpe:/a:redhat:enterprise_linux:python-cryptography, p-cpe:/a:redhat:enterprise_linux:python3x-pillow, p-cpe:/a:redhat:enterprise_linux:automation-hub, p-cpe:/a:redhat:enterprise_linux:python-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3-jinja2, p-cpe:/a:redhat:enterprise_linux:python39-pydantic, p-cpe:/a:redhat:enterprise_linux:python-pydantic, p-cpe:/a:redhat:enterprise_linux:python-idna, p-cpe:/a:redhat:enterprise_linux:python3x-social-auth-app-django, p-cpe:/a:redhat:enterprise_linux:python3-idna, p-cpe:/a:redhat:enterprise_linux:python-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3-gunicorn
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトが利用可能: true
エクスプロイトの容易さ: Exploits are available
パッチ公開日: 2024/6/10
脆弱性公開日: 2023/10/25
参照情報
CVE: CVE-2023-45288, CVE-2023-45290, CVE-2023-49083, CVE-2023-50447, CVE-2023-5752, CVE-2024-1135, CVE-2024-21503, CVE-2024-24783, CVE-2024-26130, CVE-2024-27306, CVE-2024-27351, CVE-2024-28219, CVE-2024-28849, CVE-2024-30251, CVE-2024-32879, CVE-2024-34064, CVE-2024-35195, CVE-2024-3651, CVE-2024-3772, CVE-2024-4340