RHEL 8/9: Red Hat Ansible Automation Platform 2.5 製品セキュリティおよびバグ修正プログラムの更新 (重要度高) (RHSA-2025:16487)
high Nessus プラグイン ID 265776
Language:
概要
リモートの Red Hat ホストに 1 つ以上のセキュリティ更新プログラムがありません。説明
リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2025:16487 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。
セキュリティ修正:
* automation-controllerFilteredRelation 列エイリアスでの Django SQL インジェクションCVE-2025-57833
* automation-controllerDjango パスインジェクションの脆弱性CVE-2025-48432
* python3.11-djangoFilteredRelation 列エイリアスでの Django SQL インジェクションCVE-2025-57833
影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。
更新と修正に含まれる内容:
Automation Platform
* 散発性のリクエストエラーを低減または排除するためにゲートウェイコントロールプレーン認証パフォーマンスを増加503、504、403AAP-53468
* アクセスするユーザーが管理者ではなく監査者である場合に、ゲートウェイが設定 > プラットフォームゲートウェイをレンダリングするために必要なメタデータを UI に生成しないバグを修正しましたAAP-53279
* GRPC サーバーがデータベースに接続できない場合、envoy に対して 403 の代わりに 503 を返すようになりましたAAP-51931
* ALLOW_OAUTH2_FOR_EXTERNAL_USERS 設定のヘルプテキストを変更AAP-51886
* 無効なセキュリティ設定を渡す際の SAML 認証システムの 不適切にフォーマットされたエラーメッセージを修正しました。
エラーは現在、無効なフィールドを適切に表示し、また有効なフィールド値が何であるかを示しますAAP-51705
* 認証マップの処理、理由、結果を明瞭にするためのデバッグロギングの向上AAP-51639
* 認証マップが属性の「in」条件を適切に評価しない問題を修正しましたAAP-51638
* SAML 認証でログインする場合、ユーザーのグループは、グループ属性が常にグループ属性であることを期待するのではなく、構成された属性から正しく読み込まれますAAP-51503
* ユーザーにページネーションを可視化するためにスクロールを複数選択ダイアログに追加しましたAAP-52209
* Limit has Prompt on Launchが有効になっているときにユーザーがWorkflowのスケジュールジョブテンプレートを保存できない問題を修正しましたAAP-49794
* automation-gateway が 2.5.20250924 に更新されました
* python3.11-django-ansible-base は 2.5.20250924 に更新されました
オートメーションコントローラー
* 企業を指定することなく、Samsung 認証情報を作成および編集できるようになりましたAAP-52197
* Djangoでのパスインジェクションの脆弱性が修正され、内部HTTP応答ロギングがrequest.pathをエスケープし、リモートの攻撃者が細工されたURLを介してログ出力を操作できないようになりましたAAP-51443
* エクスポートコマンドは、正しい環境変数が提供されるとき、コントローラーコレクションを通じてまたは awxkit とともに機能しますAAP-49452
* api/v2/jobs/{id}/stdout/?format=txt の二重エスケープされた引用符を修正しましたAAP-49077
* コレクションのエクスポートモジュールは、CONTROLLER_OPTIONAL_API_URLPATTERN_PREFIX 環境変数を遵守するようになり、プラットフォームゲートウェイを使用するデプロイメントでエクスポートが機能しないバグが修正されましたAAP-39265
* automation-controller は 4.6.20 に更新されました
Automation Hub
* ALAXY_API_SPEC_REQUIRE_AUTHENTICATION 設定を追加しましたデフォルトでは false、これにより OpenAPI 仕様へのアクセスが認証されたユーザーのみに制限されますAAP-53578
* automation-hub が 4.10.8 に更新されました
* python3.11-galaxy-ng は 4.10.8 に更新されました
コンテナベースの Ansible Automation Platform
* IPv6がホストで無効になっている場合、PostgreSQLとRedisサービスでのIPv6バインディングを無効にしますAAP-53546
* の復元を修正し、コントローラーリソース秘密鍵の値の移行を実装しましたAAP-53535
* Private Automation Hub への ansible コレクションのアップロードは、API ページネーションによって制限されなくなりましたAAP-53526
* 復元中に create_initial_data EDA コマンドを実行しますAAP-53382
* Private Automation Hub タスク名で、引用符を使用する問題を修正しますAAP-53307
* preflight中にpostgres接続とバージョンをチェックするときのcustom_ca_certのパスの問題を修正しましたAAP-53213
* TLS が無効のときの PostgreSQL 構成ディレクトリの作成を修正しますAAP-52569
* X-Forwarded-For および Real-Ip ヘッダーが Nginx ログに追加されるようになりましたAAP-52562
* コンテナ化されたインストーラーのセットアップが 2.5-19 に更新されました
RPM ベースの Ansible Automation Platform
* redis_mode= standalone と Redis グループが同時に定義される問題を修正しましたAAP-53560
* イベントストリームに対してデータベースの認証情報が更新されなかった EDA 復元の問題を修正しましたAAP-53529
* redis グループの一部ではない EDA/ゲートウェイノードで redis ノードリストを作成できない問題を修正しましたAAP-53528
* eda_node_type が定義されていない EDA ノードが 2 つ以上ある場合にバックアップが失敗する問題を修正しましたAAP-52892
* pulpcore-manager sudo 要件を削除しましたAAP-52288
* タスクの誤字を修正し、コントローラーからインスタンスをクリーンアップAAP-52078
* ゲートウェイ uwsgi プロセス数は現在構成可能ですAAP-50390
* Hub ワーカーがオンラインになるまで待ちますAAP-46261
* ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-18 に更新されました
追加の変更
* aap-metrics-utility は に更新されました 0.6.0
* ansible-creator が 25.8.0 に更新されました
* ansible-dev-environment は 25.8.0 に更新されました
* ansible-dev-tools が 25.8.3 に更新されました
* ansible-lint が 25.8.2 に更新されました
* ansible-navigator が 25.8.0 に更新されました
* ansible-sign が に更新されました 0.1.2
* automation-gateway-proxy は RHEL9 用の に更新されました 2.6.6-3
* 分子は 25.7.0 に更新されました
* python3.11-ansible-compat は 25.8.1 に更新されました
* python3.11-django は 4.2.24 に更新されました
* python3.11-galaxy-importer は 0.4.33 に更新されました
* python3.11-pytest-ansible は 25.8.0 に更新されました
* python3.11-pytest-plus が に更新されました 0.8.1
* python3.11-pytest-sugar が に更新されました 1.1.1
* python3.11-ruamel-yaml が に更新されました 0.18.15
* python3.11-termcolor が に更新されました 3.1.0
* python3.11-tox-ansible は 25.8.0 に更新されました
Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。
Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。
ソリューション
影響を受けるautomation-controller-venv-towerパッケージやpython3.11-djangoパッケージを更新してください。参考資料
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2370365
https://bugzilla.redhat.com/show_bug.cgi?id=2392990
プラグインの詳細
深刻度: High
ID: 265776
ファイル名: redhat-RHSA-2025-16487.nasl
バージョン: 1.1
タイプ: local
エージェント: unix
公開日: 2025/9/24
更新日: 2025/9/24
サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
リスク情報
VPR
リスクファクター: High
スコア: 7.8
Vendor
Vendor Severity: Important
CVSS v2
リスクファクター: High
基本値: 7.6
現状値: 5.6
ベクトル: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS スコアのソース: CVE-2025-57833
CVSS v3
リスクファクター: High
基本値: 7.1
現状値: 6.2
ベクトル: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N
現状ベクトル: CVSS:3.0/E:U/RL:O/RC:C
脆弱性情報
CPE: p-cpe:/a:redhat:enterprise_linux:python3.11-django, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower
必要な KB アイテム: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
エクスプロイトの容易さ: No known exploits are available
パッチ公開日: 2025/9/23
脆弱性公開日: 2025/6/5
参照情報
CVE: CVE-2025-48432, CVE-2025-57833
RHSA: 2025:16487