リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2026:71114 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正:

    * automation-controller:GitPython:Git ディレクトリのなりすましによるリモートコードの実行(CVE-2026-87817)
    * automation-controller:認証されていないBitbucket Webhook Oracleによるジョブテンプレートの列挙(CVE-2026-84717)
    * automation-controller:SystemJob extra_varsによるコマンド引数インジェクション(CVE-2026-84724)
    * automation-controller:ワークフロージョブノードのアーティファクト検索によるマスクされた認証情報データの漏えい(CVE-2026-84720)
    * automation-controller:ワークフロージョブテンプレートコピーによるインスタンスグループの権限昇格(CVE-2026-84719)
    * automation-controller:無制限の X-Forwarded-For 信頼を介した監査ログの改ざん(CVE-2026-84718)
    * automation-controller:インストールバンドルを介した任意のホスト名に対するメッシュ証明書発行(CVE-2026-84716)
    * automation-controller:sanitize_jinja正規表現バイパスによるテンプレートインジェクション(CVE-2026-84714)
    * automation-controller:認証されていないpingエンドポイントを介したオートメーションメッシュトポロジー漏えい(CVE-2026-84712)
    * automation-controller:Project scm_branch git 引数インジェクションによる任意のファイルの読み取り(CVE-2026-84711)
    * automation-controller:認証情報タイプインジェクターによるサービス拒否 Jinja レンダリング(CVE-2026-84709)
    * automation-controller:コンテナグループポッド仕様のオーバーライドによるコントロールプレーンの秘密の漏えい(CVE-2026-84708)
    * automation-controller:ホストフィルタークエリトラバーサルを介した不正なジョブ出力漏えい(CVE-2026-84707)
    * automation-controller:認証情報タイプ環境インジェクターのブロックリストバイパスを介したコード実行(CVE-2026-84706)
    * automation-controller:実行環境バインディングを介したテナント間の認証情報漏えい(CVE-2026-84703)
    * automation-controller:ワークフロージョブテンプレートノードパッチによるクロステナント実行権限のバイパス(CVE-2026-84692)
    * automation-controller:書式文字列インジェクションによる秘密鍵とデータベース認証情報の漏洩(CVE-2026-84691)
    * automation-controller:バルクジョブ起動ノード参照によるクロステナントジョブハイジャック(CVE-2026-84689)
    * automation-controller:通知テンプレートタイプスイッチリプレイによる認証情報トークンの漏えい(CVE-2026-84686)
    * automation-controller:構築済みインベントリ添付ファイルによる権限昇格(CVE-2026-84684)
    * automation-controller:ジョブ出力内の ANSI ハイパーリンクシーケンスを介した蓄積型クロスサイトスクリプティング(CVE-2026-84683)
    * automation-controller:organization Galaxy credential attachment(CVE-2026-84680)による認証情報使用の権限昇格
    * automation-controller:AWX_TASK_ENV設定による任意の環境変数のインジェクション(CVE-2026-84679)
    * automation-controller:GALAXY_TASK_ENV 環境変数インジェクションによるコード実行(CVE-2026-84678)
    * automation-controller:Thycotic Secret Server 認証情報テストによるサーバー側のリクエスト偽造(CVE-2026-84644)
    * automation-controller:プロジェクト署名検証バインディングを介した組織をまたがった認証情報の漏えい(CVE-2026-84643)
    * automation-controller:スケジュールおよびワークフローノードの添付によるインスタンスグループの権限昇格(CVE-2026-84638)
    * automation-controller:プロジェクトscm_url git引数インジェクションによるリモートコード実行(CVE-2026-84502)
    * automation-controller:検証エラーメッセージによるアンケートパスワードの漏洩(CVE-2026-84499)
    * automation-controller:provisioning-callbackのhost-matchバイパスによる権限昇格(CVE-2026-84474)
    * automation-controller:一括ジョブ起動権限チェックによるインスタンスグループの権限昇格(CVE-2026-84470)
    * automation-controller:awx:コンテナグループでのpod_spec_overrideインジェクションによるOpenShift名前空間への権限昇格(CVE-2026-75884)
    * automation-controller:アドホックコマンド制限フィールドからのコマンドライン引数の注入(CVE-2026-71465)
    * automation-controller:スケジュールscm_branchプロンプトを介したGit引数インジェクションガードのバイパス(CVE-2026-71464)
    * automation-controller:通知テンプレートJinjaホワイトリストバイパスによるスタックトレースの漏えい(CVE-2026-71463)
    * automation-controller:CUSTOM_VENV_PATHS検証によるファイルシステムパスの存在オラクル(CVE-2026-71462)
    * automation-controller:RBACチェックがないことによるクロステナントジョブイベントデータの漏えい(CVE-2026-71459)
    * automation-controller:Named-URL 404応答オラクルを介したクロステナントリソース列挙(CVE-2026-71458)
    * automation-controller:無制限サブスクリプションとライセンスの情報漏えい(CVE-2026-71460)
    * automation-controller:GitPython:無防備なGitオプションによるコマンドインジェクションによる任意のコード実行(CVE-2026-67323)
    * automation-controller:GitPython:Git オプションプレフィックスの省略によるコマンドインジェクション(CVE-2026-67325)
    * automation-controller:GitPython:攻撃者が制御するクローン URL による環境変数の抜き取り(CVE-2026-67322)
    * automation-controller:HashiCorp Vault 認証情報 SSRF を介したサービスアカウントトークンのKubernetes漏洩(CVE-2026-12564)
    * automation-gateway:brace-expansion:無限の中間配列によるサービス拒否(CVE-2026-69152)
    * automation-gateway:PostCSS:細工された sourceMappingURL による情報漏洩(CVE-2026-69153)
    * automation-gateway:js-yaml:細工された YAML ドキュメントによるサービス拒否(CVE-2026-59869)
    * automation-gateway-proxy:Golang MIME:悪意を持って細工された MIME ヘッダーによるサービス拒否(CVE-2026-42504)
    * automation-gateway-proxy:golang net/url:パス解決の二次複雑性によるサービス拒否(CVE-2026-56860)
    * automation-gateway-proxy:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * automation-gateway-proxy:Golang crypto/tls:無限の KeyUpdate メッセージによるサービス拒否(CVE-2026-56862)
    * automation-gateway-proxy:Go html/template:異常な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * python3.12-gitpython:Git ディレクトリのなりすましによるリモートコードの実行(CVE-2026-87817)
    * python3.12-sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * python3.12-sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python3.12-sqlparse:コメントグループ化での二次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * receptor:Golang crypto/tls:無限のKeyUpdateメッセージによるサービス拒否(CVE-2026-56862)
    * receptor:Go:XML デコーディング再帰深度問題によるサービス拒否(CVE-2026-56859)
    * receptor:golang net/url:パス解決の二次複雑性によるサービス拒否(CVE-2026-56860)
    * receptor:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * receptor:Go html/template:病的な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * receptor:Go net/http:暗号化されていない HTTP/2 接続にサービス拒否の脆弱性(CVE-2026-56853)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    このリリースの詳細については、「参照」セクションに記載されているリリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

RHEL 8/9:Red Hat Ansible Automation Platform 2.5 製品のセキュリティとバグ修正の更新プログラム(重要度最高)(RHSA-2026:71114)

high Nessus プラグイン ID 349628

バージョン 1.2