RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.5 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2025:4553)
medium Nessus プラグイン ID 235381
Language:
概要
リモートの Red Hat ホストにセキュリティ更新プログラムが適用されていません。説明
リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2025:4553 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。
セキュリティ修正プログラム:
* automation-controllerdjango.utils.text.wrap() の潜在的なサービス拒否の脆弱性CVE-2025-26699
影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。
更新と修正に含まれる内容:
Automation Platform
* legacy_password.py および legacy_sso.py の AuthenticatorPlugin クラス内の authenticate() メソッドを共通の親である LegacyMixin に対してリファクタリングしました。コードを明瞭にするためにクラスとそのメソッドにコメントを追加しましたAAP-44460
* ゲートウェイが管理者ユーザー用の異なる名前でインストールされることを許可しますAAP-44180
* GRPC サーバー設定のオーバーライド情報を含めることができる grpc_defaults.py ファイルを追加しましたAAP-44176
* セマンティックルールに違反しないように、api html ビューのアンカータグをボタンタグに変更しましたAAP-43802
* エラーメッセージが適切にキャプチャされるように、SSO ログインで例外が処理される方法を修正しましたAAP-43369
* LDAP AuthenticatorフィールドUSER_SEARCHフィールドは現在、LDAP Unionを適切にサポートしますAAP-42883
* ロギングレベルが情報である場合、X-DAB-JW-TOKEN ヘッダーメッセージを排除するためにロギングレベルが変更されましたAAP-38169
* ジョブイベントストリーミングは WebSocket 接続なしでサポートされるようになりましたAAP-43894
* マウスポインターの動きによってトリガーされる調整されたセッションリフレッシュメカニズムを実装しましたAAP-43622
* 実行環境選択ドロップダウンでときどき発生していたフラッシュを解決AAP-43546
* ルールブックアクティベーション履歴ログを検索するためのツールバーを追加しましたAAP-43338
* ルールブックアクティベーションインスタンスにジョブ出力ロガーに類似した拡張ログビューアーを追加AAP-43337
* ジョブの出力が遅く、出力の一部が欠落しているために読み取りが困難になっていた問題を修正しましたAAP-41434
* プレイブック実行を開始するためにジョブの実行を待機しているユーザーへの通知を追加AAP-41399
* 認証メソッドマッピングUIのパフォーマンスが改善されましたAAP-40963
* お客様がフィルターされたジョブ出力の出力の詳細を表示できるように修正しましたAAP-38925
* 既存のルールブックのアクティベーションを編集する機能を追加AAP-37299
* automation-gateway が 2.5.20250507 に更新されました
* Automation-gateway-proxy が に更新されました 2.5.10
* python3.11-django-ansible-base は 2.5.20250507 に更新されました
オートメーションコントローラー
* awx.awx.schedule_rrule に対する正しくない廃止の警告を修正しましたAAP-43474
* Django パスワードバリデーターの UserAttributeSimilarityValidator の使用を修正しましたAAP-43046
* 事実を修正し、ジョブの実行中にインベントリが変更された際に、意図せず削除されなくなるようにしますAAP-39365
* GitHub App 認証情報タイプを実装しましたAAP-38589
* automation-controller は 4.6.12 に更新されました
* receptor は 1.5.5 に更新されました
イベント駆動型 Ansible
* ansible-rulebook で使用される drools ルールエンジンが、2 時間の default_events_ttl のメモリで一致しないイベントを保持し、メモリリークを引き起こしていた問題を修正しましたAAP-44899
* アクティベーションがメッセージで失敗するバグを修正しました。再起動ポリシーに従って常に 60秒で再起動1/5を試行しますが、再起動しませんAAP-43969
* OCP の展開のアクティベーション名で [] などの特殊文字が許可されなかったバグを修正しましたAAP-43742
* eda-server の AAP インジェクションを強化し、共通のプラットフォーム変数が extra_vars または指定されている場合は環境変数として含まれるようにしましたAAP-43029
* コンテナが正しく削除されなかったり、VM ベースのインストールで最後の出力エントリがなかったりするバグを修正しましたAAP-42935
* eda コレクションのルールブックアクティベーションモジュールのアクティベーション再開のサポートを追加AAP-42542
* 共通プラットフォーム env 変数およびモジュール変数が eda コレクションで使用できるように、eda コレクション変数を指定するために使用できる AAP エイリアスを許可しますAAP-42280
* [tid: uuid-pattern] というラベルの付いた各ログメッセージにログ追跡 ID を追加しましたAAP-42270
* x-request-idを、[rid:uuid-pattern] としてラベル付けされた各ログメッセージに追加しましたAAP-42269
* EDA 決定環境検証エラーは、決定環境 UI ページの決定環境テキストボックスの下に表示されるようになりましたAAP-42147
* ソースプラグインが終了した場合、ソースファイル名、関数名、行番号付きのスタックトレースを確認できるようになりましたAAP-41774
* ルールブックのアクティベーションとイベントストリームを作成したユーザーが削除された後、それらが残るように連鎖削除に対処しましたAAP-41769
* 渡されたコントローラーURLは正しく検証されますAAP-41575
* カスタムポートでイメージレジストリを使用する際に、決定環境イメージが正常に認証され、プルされるようにしますAAP-41281
* ansible-rulebookがワーカーモードで起動するとき、関連する設定とバージョンがログに出力されますAAP-40781
* ansible-rulebook が 1.1.6 に更新されました
* automation-eda-controller は 1.1.8 に更新されました
* python3.11-drools-jpy が に更新されました 0.3.10
* python3.11-drools-jpy-jar が に更新されました 1.0.7
* python3.11-podman は 5.4.0 に更新されました
Automation Hub
* automation-hub が 4.10.4 に更新されました
* python3.11-galaxy-importer は 0.4.29 に更新されました
* python3.11-galaxy-ng は 4.10.4 に更新されました
コンテナベースの Ansible Automation Platform
* ansible.platform コレクションを使用するためにインストーラーを更新AAP-44230
* ワーカー一時ディレクトリがないためにオートメーションハブがコレクションのアップロードに失敗する問題が修正されましたAAP-44166
* プレイブックを実装し、インベントリファイルを使用して sos レポートを収集しましたAAP-42606
* デフォルト値trueの新しい変数use_archive_compressionを追加しましたAAP-41242
* デフォルト値の各コンポーネントに対して新しい変数ComponentName_use_archive_compression
trueAAP-41242
* コンテナ化されたインストーラーのセットアップが 2.5-13 に更新されました
RPM ベースの Ansible Automation Platform
* ターゲット環境での復元後にゲートウェイサービスが整合しない問題を修正しましたAAP-44231
* ansible.platform コレクションを使用するためにインストーラーを更新AAP-43465
* Authorization ヘッダーがないために発生するルールブックのアクティブ化の問題を修正しましたAAP-44700
* バックアップ/復元で使用されるアーカイブおよびデータベースアーチファクトの圧縮を追加AAP-42055
* ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-12 に更新されました
追加の変更
* aap-metrics-utility は に更新されました 0.5.0
* ansible-runner が に更新されました 2.4.1
* python3.11-dynaconf は に更新されました 3.2.10
* python3.11-sqlparse は に更新されました 0.5.3
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受ける automation-controller-venv-tower パッケージを更新してください。参考資料
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=2348993
プラグインの詳細
深刻度: Medium
ID: 235381
ファイル名: redhat-RHSA-2025-4553.nasl
バージョン: 1.2
タイプ: local
エージェント: unix
公開日: 2025/5/6
更新日: 2025/6/5
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 1.6
Vendor
Vendor Severity: Moderate
CVSS v2
リスクファクター: High
基本値: 7.8
現状値: 5.8
ベクトル: CVSS2#AV:N/AC:L/Au:N/C:N/I:N/A:C
CVSS スコアのソース: CVE-2025-26699
CVSS v3
リスクファクター: Medium
基本値: 5
現状値: 4.4
ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:L
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/5/6
脆弱性公開日: 2025/3/6
参照情報
CVE: CVE-2025-26699