Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - follow-redirects は、Node の「http」および「https」モジュール用のオープンソースのドロップイン置換で、自動的にリダイレクトに従います。影響を受けるバージョンでは、フォローリダイレクトはクロスドメインリダイレクト中に承認ヘッダーのみを消去しますが、認証情報も含まれているプロキシ認証ヘッダーは保持します。
    この脆弱性によって資格情報の漏洩が発生する可能性がありますが、バージョン 1.15.6 で修正されました。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-28849)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Fedora 40 ホストには、FEDORA-2024-db558f6fb2 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - follow-redirects は、Node の「http」および「https」モジュール用のオープンソースのドロップイン置換で、自動的にリダイレクトに従います。影響を受けるバージョンでは、フォローリダイレクトはクロスドメインリダイレクト中に承認ヘッダーのみを消去しますが、認証情報も含まれているプロキシ認証ヘッダーは保持します。
    この脆弱性によって資格情報の漏洩が発生する可能性がありますが、バージョン 1.15.6 で修正されました。ユーザーにアップグレードすることを推奨します。この脆弱性に対する既知の回避策はありません。(CVE-2024-28849)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 18.04LTS/20.04 LTS/22.04 LTS ホストには、USN-8217-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    フォローリダイレクトはリダイレクト時に機密ユーザー情報を適切に保護できなかったことが判明しました。攻撃者がこの問題を悪用し、秘密情報を漏洩させる可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2022-0155)

    フォローリダイレクトは保存や転送前に機密情報を適切に削除しないことが判明しました。攻撃者がこの問題を悪用し、秘密情報を漏洩させる可能性があります。この問題の影響を受けるのは、Ubuntu 18.04 LTS と Ubuntu 20.04 LTS のみです。(CVE-2022-0536)

    フォローリダイレクトは特定の入力を処理する際にURLを正しく検証しないことが判明しました。攻撃者はこの問題を利用して悪意のあるサイトにユーザーをリダイレクトし、情報漏洩やフィッシング攻撃を引き起こす可能性があります。(CVE-2023-26159)

    クロスドメインリダイレクト時にフォローリダイレクトがプロキシ認証ヘッダーを正しくクリアしないことが判明しました。攻撃者はこの問題を利用して、機密性の高い認証情報を漏らす可能性があります。
    (CVE-2024-28849)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:3781 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム: 

    * automation-controller: aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
    * automation-controller: Django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)
    * automation-controller: pip: pip 経由のインストール時にリポジトリリビジョンに挿入可能なメトリクス設定 (CVE-2023-5752)
    * automation-controller: pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
    * automation-hub, python3/python39-galaxy-ng: follow-redirects: 資格情報漏洩の可能性 (CVE-2024-28849)
    * python3/python39-aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
    * python3/python39-aiohttp: 静的ファイル処理のためのインデックスページの XSS (CVE-2024-27306)
    * python3/python39-black: strings.py ファイル内の lines_with_leading_tabs_expanded() 関数を介した ReDoS (CVE-2024-21503)
    * python3/python39-cryptography: 一致しない証明書と秘密鍵、ならびに hmac_hash オーバーライドで呼び出された場合の、pkcs12.serialize_key_and_certificates による NULL ポインターデリファレンス (CVE-2024-26130)
    * python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
    * python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
    * python3/python39-gunicorn: Transfer-Encoding ヘッダーの不適切な検証による HTTP リクエストのスマグリング (CVE-2024-1135)
    * python3/python39-idna: idna.encode() への特別に細工された入力によるリソース消費で潜在的な DoS (CVE-2024-3651)
    * python3/python39-jinja2: 非属性文字を含むキーを受け入れます (CVE-2024-34064)
    * python3/python39-pillow: _imagingcms.c のバッファオーバーフロー (CVE-2024-28219)
    * python3/python39-pillow: 環境パラメーターによる任意のコードの実行 (CVE-2023-50447)
    * python3/python39-pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
    * python3/python39-requests: 同じホストに対する後続のリクエストは証明書の検証を無視 (CVE-2024-35195)
    * python3/python39-social-auth-app-django: social-auth-app-django における大文字と小文字の区別の不適切な処理 (CVE-2024-32879)
    * python3/python39-sqlparse: 重くネスト化されたリストの解析により引き起こされるサービス拒否 (CVE-2024-4340)
    * receptor: golang: crypto/x509: 不明な公開鍵アルゴリズムによる証明書のパニックの検証 (CVE-2024-24783)
    * receptor: golang: net/http、x/net/http2: 無制限の数の CONTINUATION フレームが DoS を引き起こします (CVE-2023-45288)
    * receptor: golang: net/http: Request.ParseMultipartForm におけるメモリ枯渇 (CVE-2023-45290)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    オートメーションコントローラーの更新と修正。
    * バージョン 4.5.6 の修正済み Redis 接続漏洩 (AAP-24286)
    * automation-controller は 4.5.7 に更新されました

    オートメーションハブの更新と修正。
    * 修正済みのリポジトリ同期の問題 (AAH-3111、AAH-3218)
    * automation-hub/python3-galaxy-ng/python39-galaxy-ng は 4.9.2 に更新されました

    追加の変更
    * ansible-core は 2.15.11 に更新されました
    * automation-eda-controller は 1.0.7 に更新されました
    * インストーラーとセットアップが 2.4-7 に更新されました
    * receptor は 1.4.8 に更新されました

    このリリースに含まれる更新と修正の詳細については、リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
227788	Linux Distros のパッチ未適用の脆弱性: CVE-2024-28849	Nessus	Misc.	2025/3/5	2026/9/2	medium
194710	Fedora 40 : pgadmin4 (2024-db558f6fb2)	Nessus	Fedora Local Security Checks	2024/4/29	2025/12/9	medium
310958	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS : follow-redirects vulnerabilities (USN-8217-1)	Nessus	Ubuntu Local Security Checks	2026/4/29	2026/4/29	medium
200272	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:3781)	Nessus	Red Hat Local Security Checks	2024/6/10	2024/11/7	critical

検出

プラグインの検索

medium

medium

medium

critical