リモートの Redhat Enterprise Linux 10/9 ホストには、 RHSA-2026:3958 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:

    * Automation-controllerwheel悪意のあるwheelファイルの解凍による権限昇格または任意のコードの実行CVE-2026-24049
    * automation-controllerpyasn1 には、デコーダーにおける DoS 脆弱性がありますCVE-2026-23490
    * Automation-platform-ui_.unset 関数と _.omic 関数のプロトタイプ汚染CVE-2025-13465]
    * Automation-platform-uiReact Router には XSS の脆弱性がありますCVE-2025-59057
    * automation-platform-uiScrollRestoration の Router SSR XSS に反応しますCVE-2026-21884
    * Automation-platform-uiオープンリダイレクトを通じて XSS に対して脆弱な React RouterCVE-2026-22029]
    * python3.11-aiohttpAIOHTTP の HTTP Parser auto_decompress 機能は zip 爆弾に脆弱ですCVE-2025-69223
    * python3.11-djangoDjangoQuerySet.order_by() の細工された列エイリアスを介した SQL インジェクションCVE-2026-1312]
    * python3.11-djangoDjango細工された列エイリアスによる SQL インジェクションCVE-2026-1287
    * python3.11-djangoDjango細工された HTML 入力を通じたサービス拒否CVE-2026-1285
    * python3.11-djangoDjangoRasterField バンドインデックスパラメーターを通じた SQL インジェクションCVE-2026-1207
    * python3.11-djangoDjango重複するヘッダーを持つ細工されたリクエストを介したサービス拒否CVE-2025-14550
    * python3.11-protobufPython Protobuf でのサービス拒否CVE-2026-0994]
    * レセプターnet/url のクエリパラメーター解析でのメモリ枯渇CVE-2025-61726]

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    更新と修正に含まれる内容:

    * Python が に更新されました 3.12 AAP-56567

    重要: すべてのユーザーは、最新バージョンのインストーラーをダウンロードする必要があります。以前のバージョンのインストーラーを使用してインストールまたはアップグレードしようとすると、失敗する可能性があります。

    Automation Platform
    * Organization Administrator が、組織内のオブジェクトにアクセス許可を委任できないバグを修正しますAAP-65081
    * 機能フラグテーブルが部分的な移行でさえ、想定通りに作成/更新されない復元の問題を修正しましたAAP-65815
    * automation-gateway が 2.6.20260225 に更新されました

    Automation Platform UI
    * プロジェクトのソースコントロールブランチがテンプレートまたはテンプレートスケジュールでオーバーライドされた場合、スケジュールの詳細およびスケジュール編集フォームのレビューステップに表示されるようになりましたAAP-60920
    * 50 を超える認証マッピングの並べ替えを妨げる問題を修正AAP-59119
    * Automation-platform-ui が に更新されました 2.6.6

    オートメーションコントローラー
    * 特定のリソースで管理者ロールを持っているが、そのタイプの新しいリソースを作成する権限を持たないユーザーに対して、awx CLI 変更コマンドが使用可能なフィールドフラグを表示しない問題を修正しましたAAP-65813
    * ジョブリストのエンドポイントを修正し、ジョブアーティファクトを読み込まないようになり、パフォーマンスが向上しましたAAP-63489
    * 欠落している RoleUserAssignment openapi スキーマコンポーネントを修正しましたAAP-60826
    * automation-controller は 4.7.9 に更新されました

    Automation Hub
    * RBAC 権限を適切に実施するために _ui/v2 endoint を更新しましたAAP-66634
    * 静的 OpenAPI 仕様を galaxy に追加し、ユーザーが呼び出すことができる潜在的なエンドポイントにフォーカスしましたAAP-66415
    * Hub OpenAPI 仕様のドキュメント化AAP-66412 および AAP-66410
    * automation-hub が 4.11.6 に更新されました

    イベント駆動型 Ansible
    * eda プラグインのライフサイクル処理を追加しましたdeprecation、redirection、tombstoningAAP-62721
    * register_curl を呼び出すために RQ のデフォルトのハートビートをオーバーライドします。これにより、ワーカーが Redis から切断された場合にワーカーの再登録が可能になり、Ghost Workers も排除されました。また、rq バージョンは、より最近の安定したリリースである 2.6.1に更新されましたAAP-56872
    * ansible-rulebook が 1.2.1 に更新されました
    * automation-eda-controller は 1.2.6 に更新されました

    コンテナベースの Ansible Automation Platform
    * ansible_host を定義する必要がない自動化ゲートウェイのプリフライトチェックを修正しましたAAP-65370
    * レセプター構成の「/home/{{ ansible_user_id }}」パス参照が ansible_user_dir ansible 事実に置き換えられますAAP-64452
    * envoy リクエストのタイムアウトが 1 秒から 5 秒に増加AAP-64323
    * Automation コントローラーステータス取得の際に再試行メカニズムを追加しましたAAP-64291
    * envoy で TLS を無効にしても、Merge 組織タスクを実行する際にコントローラー接続エラーを発生させなくなりましたAAP-62904
    * ansible core で jinja2 ネイティブが有効化された場合の互換性を修正しましたAAP-62878
    * Automation ハブレジストリにコンテナイメージをプッシュする際に TLS 検証を削除し、TLS が無効化されているAAP-62864
    * インベントリサンプルの URL アンカーが更新され、公式ドキュメントを反映するようになりましたAAP-55780
    * コンテナ化されたインストーラーのセットアップが 2.6-6 に更新されました

    RPM ベースの Ansible Automation Platform
    * envoy リクエストのタイムアウトが 1 秒から 5 秒に増加AAP-64008
    * ansible-automation-platform-installer およびインストーラーのセットアップが 2.6-5 に更新されました

    追加の変更
    * ansible-core は 2.16.16 に更新されました
    * すべての python3.11- プレフィックス付き rpm が python3.12- プレフィックス付き rpm で置き換えられます

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 10 / 9Red Hat Ansible Automation Platform 2.6 製品セキュリティおよびバグ修正の更新重要度高RHSA-2026:3958]

high Nessus プラグイン ID 301326

バージョン 1.1