リモート Redhat Enterprise Linux 9 ホストに、RHSA-2024:9984 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    sqlparse は、SQL 文字列を解析するためのツールです

    セキュリティ修正プログラム:

    * 重くネスト化されたリストの解析が、サービス拒否につながります (CVE-2024-4340)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、[参照] セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:3781 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム: 

    * automation-controller: aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
    * automation-controller: Django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)
    * automation-controller: pip: pip 経由のインストール時にリポジトリリビジョンに挿入可能なメトリクス設定 (CVE-2023-5752)
    * automation-controller: pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
    * automation-hub, python3/python39-galaxy-ng: follow-redirects: 資格情報漏洩の可能性 (CVE-2024-28849)
    * python3/python39-aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)
    * python3/python39-aiohttp: 静的ファイル処理のためのインデックスページの XSS (CVE-2024-27306)
    * python3/python39-black: strings.py ファイル内の lines_with_leading_tabs_expanded() 関数を介した ReDoS (CVE-2024-21503)
    * python3/python39-cryptography: 一致しない証明書と秘密鍵、ならびに hmac_hash オーバーライドで呼び出された場合の、pkcs12.serialize_key_and_certificates による NULL ポインターデリファレンス (CVE-2024-26130)
    * python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
    * python3/python39-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)
    * python3/python39-gunicorn: Transfer-Encoding ヘッダーの不適切な検証による HTTP リクエストのスマグリング (CVE-2024-1135)
    * python3/python39-idna: idna.encode() への特別に細工された入力によるリソース消費で潜在的な DoS (CVE-2024-3651)
    * python3/python39-jinja2: 非属性文字を含むキーを受け入れます (CVE-2024-34064)
    * python3/python39-pillow: _imagingcms.c のバッファオーバーフロー (CVE-2024-28219)
    * python3/python39-pillow: 環境パラメーターによる任意のコードの実行 (CVE-2023-50447)
    * python3/python39-pydantic: 細工されたメール文字列によるサービス拒否の正規表現 (CVE-2024-3772)
    * python3/python39-requests: 同じホストに対する後続のリクエストは証明書の検証を無視 (CVE-2024-35195)
    * python3/python39-social-auth-app-django: social-auth-app-django における大文字と小文字の区別の不適切な処理 (CVE-2024-32879)
    * python3/python39-sqlparse: 重くネスト化されたリストの解析により引き起こされるサービス拒否 (CVE-2024-4340)
    * receptor: golang: crypto/x509: 不明な公開鍵アルゴリズムによる証明書のパニックの検証 (CVE-2024-24783)
    * receptor: golang: net/http、x/net/http2: 無制限の数の CONTINUATION フレームが DoS を引き起こします (CVE-2023-45288)
    * receptor: golang: net/http: Request.ParseMultipartForm におけるメモリ枯渇 (CVE-2023-45290)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    オートメーションコントローラーの更新と修正。
    * バージョン 4.5.6 の修正済み Redis 接続漏洩 (AAP-24286)
    * automation-controller は 4.5.7 に更新されました

    オートメーションハブの更新と修正。
    * 修正済みのリポジトリ同期の問題 (AAH-3111、AAH-3218)
    * automation-hub/python3-galaxy-ng/python39-galaxy-ng は 4.9.2 に更新されました

    追加の変更
    * ansible-core は 2.15.11 に更新されました
    * automation-eda-controller は 1.0.7 に更新されました
    * インストーラーとセットアップが 2.4-7 に更新されました
    * receptor は 1.4.8 に更新されました

    このリリースに含まれる更新と修正の詳細については、リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2025:1335 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Update Infrastructure (RHUI) は、リポジトリとコンテンツを管理する、非常にスケーラブルで冗長性の高いフレームワークを提供します。また、クラウドプロバイダーは、Red Hat Enterprise Linux (RHEL) インスタンスにコンテンツと更新プログラムを提供できます。

    セキュリティ修正:
    * Cryptography: 一致しない証明書と秘密鍵、ならびに hmac_hash オーバーライドで呼び出された場合の、pkcs12.serialize_key_and_certificates による NULL ポインターデリファレンス (CVE-2024-26130)

    * Gunicorn: Transfer-Encoding ヘッダーの不適切な検証による HTTP リクエストのスマグリング (CVE-2024-1135)

    * Aiohttp: aiohttp: 静的ファイル処理のためのインデックスページの XSS (CVE-2024-27306)

    * Aiohttp: aiohttp: 無効な形式の POST リクエストを解析しようとする際の DoS (CVE-2024-30251)

    * Sqlparse: sqlparse: 重くネスト化されたリストの解析が、サービス拒否につながる (CVE-2024-4340)

    * Jinja2: jinja2: 非属性文字を含むキーを受け入れる (CVE-2024-34064)

    * Django: django.utils.translation.get_supported_language_variant() におけるサービス拒否の可能性 (CVE-2024-39614)

    * Django: django.utils.numberformat.floatformat() におけるメモリ枯渇 (CVE-2024-41989)

    * Django: QuerySet.values() および values_list() における SQL インジェクションの可能性 (CVE-2024-42005)

    * Django: django.utils.html.urlize() におけるサービス拒否の脆弱性の可能性 (CVE-2024-41990)

    * Django: django.utils.html.urlize() および AdminURLFieldWidget におけるサービス拒否の脆弱性の可能性 (CVE-2024-41991)

    * Grpcio: HTTP/2 プロキシと通信するクライアントが、プロキシとバックエンドの間の HPACK テーブルをポイズニングする可能性 (CVE-2024-7246)

    * リクエスト: 同じホストに対する後続のリクエストは証明書の検証を無視 (CVE-2024-35195)

    このリリースのその他の変更に関する詳細については、「参照」セクションからリンクされている Red Hat Update Infrastructure リリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4000 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4000-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Guilhem Moulin 2024 年 12 月 21 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    パッケージ: sqlparse バージョン: 0.4.1-1+deb11u1 CVE ID: CVE-2021-32839 CVE-2023-30608 CVE-2024-4340 Debian バグ: 994841 1034615 1070148

    Python 用の非検証 SQL パーサーである sqlparse に複数の脆弱性が見つかり、サービス拒否につながる可能性があります。

    CVE-2021-32839

        Erik Krogh Kristensen 氏は、StripComments フィルターに ReDOS (正規表現のサービス拒否) に脆弱な正規表現が含まれていることを発見しました。正規表現により、SQL コメントの「\r\n」の多数の繰り返しを含む文字列で、指数バックトラックが引き起こされる可能性があります。

    CVE-2023-30608

        Erik Krogh Kristensen 氏は、パーサーに ReDOS (正規表現のサービス拒否) に脆弱な正規表現が含まれていることを発見しました。

    CVE-2024-4340

        Uriya Yavniely 氏は、sqlparse.parse() に深くネストされたリストを渡すと、RecursionError 例外が発生する可能性があることを発見しました。代わりに、汎用 SQLParseError が発生するようになりました。

    Debian 11 bullseye においては、これらの問題はバージョン 0.4.1-1+deb11u1 で修正されました。

    お使いの sqlparse パッケージをアップグレードすることを推奨します。

    sqlparse の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください:
    https://security-tracker.debian.org/tracker/sqlparse

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 署名

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:9986 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    sqlparse は、SQL 文字列を解析するためのツールです

    セキュリティ修正プログラム:

    * 重くネスト化されたリストの解析が、サービス拒否につながります (CVE-2024-4340)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、[参照] セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 22.04 / 23.10 / 24.04 の LTS ホストには、USN-6771-1のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

  - 重くネスト化されたリストを sqlparse.parse() に渡すと、RecursionError によるサービス拒否が発生します。
    (CVE-2024-4340)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2025:9838 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの設定や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや設定管理も行います。

    セキュリティ修正プログラム:

    * cjson: 関数 cJSON_InsertItemInArray のセグメンテーション違反 (CVE-2023-50471)

    * cjson: 関数 cJSON_SetValuestring のセグメンテーション違反 (CVE-2023-50472)

    * cjson: cJSON.c の関数 cJSON_SetValuestring の第 2 パラメーターによるセグメンテーション違反のトリガー (CVE-2024-31755)

    * rubygem-rack: Rack::QueryParser の Unbounded-Parameter DoS (CVE-2025-46727)

    * python-sqlparse: sqlparse: 重くネスト化されたリストの解析が、サービス拒否につながる (CVE-2024-4340)

    カーネルのユーザーは、これらの更新済みのパッケージへアップグレードし、これらのバグを修正することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
211792	RHEL 9 : RHOSP 17.1.4 (python-sqlparse) (RHSA-2024:9984)	Nessus	Red Hat Local Security Checks	2024/11/25	2024/11/25	high
200272	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:3781)	Nessus	Red Hat Local Security Checks	2024/6/10	2024/11/7	high
216436	RHEL 8: RHUI 4.11 (RHSA-2025:1335)	Nessus	Red Hat Local Security Checks	2025/2/18	2025/6/5	high
213318	Debian dla-4000: python-sqlparse-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2024/12/21	2024/12/21	high
211786	RHEL 8 : RHOSP 17.1.4 (python-sqlparse) (RHSA-2024:9986)	Nessus	Red Hat Local Security Checks	2024/11/25	2024/11/25	high
196902	Ubuntu 22.04 LTS/23.10/24.04 LTS: SQL 解析の脆弱性 (USN-6771-1)	Nessus	Ubuntu Local Security Checks	2024/5/13	2024/8/27	high
240696	RHEL 8 : Satellite 6.15.5.3 Async の更新 (重要度中) (RHSA-2025:9838)	Nessus	Red Hat Local Security Checks	2025/6/26	2025/6/26	high

検出

プラグインの検索

high

high

high

high

high

high

high