リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:8534 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム: 

    * automation-controller: Django: django.utils.numberformat.floatformat() におけるメモリ枯渇 (CVE-2024-41989)
    * automation-controller: Django: django.utils.html.urlize() におけるサービス拒否の脆弱性の可能性 (CVE-2024-45230)
    * automation-gateway: automation-gateway 上の XSS (CVE-2024-10033)
    * receptor: quic-go: QUIC の接続 ID メカニズムに対するメモリ枯渇攻撃 (CVE-2024-22189)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    更新と修正に含まれる内容:

    * この更新により、自動化コントローラーと自動化ハブの RPM およびオペレーターベースのデプロイメントに関して、匿名自動化プラットフォーム 2.4 から 2.5 へのアップグレードがサポートされます。アップグレード方法の詳細については、AAP ランディングページの「アップグレード」セクションを参照してください。(ANSTRAT-809)

    コンテナベースの Ansible Automation Platform
    * TLS 認証局の秘密鍵でパスフレーズを使用できるようになりました。(AAP-33594)
    * 自動化ハブは、コンテナイメージ (決定および実行環境) と Ansible コレクションで構成されています。(AAP-33759)
    * 自動化コントローラー、イベント制御の Ansible、自動化ハブのレガシー UI では、空白のページではなく、プラットフォーム UI へのリダイレクトページが表示されるようになりました。(AAP-33794)
    * 環境がすでにアンインストールされている場合のアンインストールプレイブックの実行を修正しました。(AAP-32981)
    * コンテナ化されたインストーラーのセットアップが 2.5-3 に更新されました

    RPM ベースの Ansible Automation Platform
    * RPM ベースの Ansible Automation Platform にプラットフォーム Redis を追加しました。これにより、Redis 高可用性 (HA) デプロイメントに 6 ノードのクラスターが可能になります。(AAP-33773)
    * 変数 aap_caching_mtls を削除し、redis_disable_tls および redis_disable_mtls に置き換えました。これらは、Redis サーバー TLS および Redis クライアント証明書認証を無効にする boolean フラグです。
    (AAP-33773)
    * 自動化コントローラー、イベント制御の Ansible、または自動化ハブの URL に移動すると、情報のためのリダイレクトページが表示されるようになりました。(AAP-33827)
    * ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-4 に更新されました

    追加の変更:
    * automation-controller は 4.6.2 に更新されました
    * automation-eda-controller は 1.1.2 に更新されました
    * automation-gateway が 2.5.3 に更新されました
    * automation-hub/python3.11-galaxy-ng は 4.10.1 に更新されました
    * python3.11-django-ansible-base は 2.5.3 に更新されました
    * receptor は 1.4.9 に更新されました

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.5 製品リリース更新プログラム (重要度中) (RHSA-2024:8534)

medium Nessus プラグイン ID 209894

バージョン 1.3