リモートの Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10 ホストには、USN-7136-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Jiangniao 氏は、Django がタグを削除する API を不適切に処理していることを発見しました。リモートの攻撃者がこの問題を悪用して Django にリソースを消費させ、サービス拒否を引き起こす可能性があります。
    (CVE-2024-53907)

    Seokchan Yoon 氏は、Oracle を使用しているときに Django が HasKey 検索を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、任意の SQL コードを挿入する可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 24.10のみです。(CVE-2024-53908)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2025:0340 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:
    * automation-controller: Oracle の HasKey(lhs、rhs) での潜在的な SQL インジェクション (CVE-2024-53908)
    * automation-controller: django.utils.html.strip_tags() におけるサービス拒否攻撃の可能性 (CVE-2024-53907)
    * automation-controller: gRPC-C++ のデータ破損によるサービス拒否 (CVE-2024-11407)
    * Automation-gateway: nanoid が非整数値を不適切に処理する (CVE-2024-55565)
    * python3.11-aiohttp: aiohttp は、チャンク拡張の解析が正しく行われないため、リクエストスマグリングに対して脆弱 (CVE-2024-52304)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    更新と修正に含まれる内容:

    Platform
    * フォームウィザードを操作する際に時折発生する「not found」エラーを修正 (AAP-37495)
    * ソーシャル認証パイプラインのユーザー名フィールドを決定するために、ID_KEY 属性が不適切に使用される問題を修正 (AAP-38300)
    * X-DAB-JW-TOKEN ヘッダーメッセージがログを溢れさせる問題を修正 (AAP-38169)
    * オーセンティケーターがユーザー ID を作成し、有効でない authenticator_uid を返す可能性がある問題を修正しました (AAP-38021)
    * ステータス API、/api/gateway/v1/status/ を JSON 内のサービスプロパティから配列に拡張 (AAP-37903)
    * OpenAPI スキーマファイルをダウンロードするときに秘密鍵がプレーンテキストで表示される問題を修正します。
    注意: これはゲートウェイが使用する秘密鍵ではなく、ランダムな既定です (AAP-37843)

    オートメーションコントローラー
    * 外部に送信するロガーの選択肢として「job_lifecycle」を追加し、ジョブに関連するログに「organization_id」フィールドを追加 (AAP-37537)
    *「host_metric_summary_monthly」タスクからのトレースバックの日付比較の不一致を修正 (AAP-37487)
    * カウントがゼロでない値に設定されたスケジュールされたジョブが予期せず実行されないように修正 (AAP-37290)
    * ゲートウェイ経由の「/api/controller/login/」に対する POST 操作が致命的なエラーにならないように修正 (AAP-37235)
    * プロジェクトの「requirements.yml」の動作を修正することで、クラスターで以前の状態に戻らないように修正 (AAP-37228)
    * 多数のジョブがすばやく起動される場合、ジョブを開始する前にイベントパーティションテーブルを作成する際に時折発生するエラーを修正しました (AAP-37227)
    * ジョブテンプレートの起動中に名前付き URL が 404 エラーコードを返さないように修正 (AAP-37025)
    * ノードでジョブが完了した後に一時的なレセプターファイルをクリーンアップするよう、レセプターを更新 (AAP-36904)
    * ゲートウェイ経由の「/api/controller/login/」に対する POST 操作を修正し、もはや致命的なエラーを引き起こさないようにしました (AAP-33911)
    * automation-controller は 4.6.6 に更新されました

    コンテナベースの Ansible Automation Platform
    * 増加インベントリ用の提供されたインベントリファイルサンプルにより、低リソースシステムでインストールが停止する可能性がある問題を修正 (AAP-38372)
    * 成長トポロジのインストールでコントローラーのスロットル容量によってパフォーマンスが低下する問題を修正 (AAP-38207)
    * プリフライト ロール実行中にレセプター TLS 証明書の内容が検証されず、x509 サブジェクト代替名 (SAN) フィールドに必要な ISO オブジェクト識別子 (OID) が含まれていることが確認されない問題を修正 (AAP-37880)
    * TLS 証明書とキーファイルが preflight ロール実行中に検証されるように変更 (AAP-37845)
    * Postgresql SSL モード変数が preflight ロールの実行中に検証されない問題を修正 (AAP-37352)
    * コンテナ化されたインストーラーのセットアップが 2.5-8 に更新されました

    RPM ベースの Ansible Automation Platform
    * アップグレードされた環境に新しいオートメーションハブホストを追加するとインストールが失敗する問題を修正 (AAP-38204)
    * インストーラーの README.md 内のドキュメントへのリンクが破損していた問題を修正 (AAP-37627)
    * Event-Driven Ansible イベントストリームサービスの API ステータスを適切に返すように nginx 設定を更新 (AAP-32816)
    * ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-7 に更新されました

    追加の変更:
    * ansible-core をインストールしても、python3-jmespath が RHEL 8 にインストールされなくなる (AAP-18251)
    * ansible-core は 2.16.14-2 に更新されました
    * automation-gateway が 2.5.20250115 に更新されました
    * python3.11-aiohttp は、その依存関係とともに 3.10.11 に更新されました
    * python3.11-django-ansible-base は 2.5.20250115 に更新されました
    * python3.11-galaxy-importer は 0.4.27 に更新されました 
    * python3.11-pulpcore は 3.49.29 に更新されました

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-4006 のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-4006-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2024 年 12 月 31 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ: python-django バージョン: 2:2.2.28-1~deb11u3 CVE ID: CVE-2024-53907

    人気の Python ベースの Web 開発フレームワークである Django に、サービス拒否 (DoS) の脆弱性がある可能性があることが判明しました。

    strip_tags() メソッドと striptags テンプレートフィルターは、ネスト化された不完全な HTML エンティティの大きなシーケンスを含む特定の入力を介して、サービス拒否攻撃の可能性にさらされていました。

    Debian 11 bullseye において、この問題はバージョン 2:2.2.28-1~deb11u3 で修正されました。

    python-django パッケージをアップグレードすることを推奨します。

    python-django の詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/python-django

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2025:0777 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:

    * automation-controller: Jinja には、フォーマットメソッドへの間接参照によるサンドボックスブレイクアウトが存在します (CVE-2024-56326)
    * automation-controller: Jinja には、悪意のあるファイル名によるサンドボックスブレイクアウトが存在します (CVE-2024-56201)
    * automation-controller: Django: IPv6 検証におけるサービス拒否の脆弱性の可能性 (CVE-2024-56374)
    * python3.11-django: IPv6 検証におけるサービス拒否の脆弱性の可能性 (CVE-2024-56374)
    * python3.11-django: django.utils.html.strip_tags() におけるサービス拒否の可能性 (CVE-2024-53907)
    * python3.11-jinja2: Jinja には、フォーマットメソッドへの間接参照によるサンドボックスブレイクアウトが存在します (CVE-2024-56326)
    * python3.11-jinja2: Jinja には、悪意のあるファイル名によるサンドボックスブレイクアウトが存在します (CVE-2024-56201)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    更新と修正に含まれる内容:

    オートメーションコントローラー
    * ソースインベントリの順番が ansible.controller コレクションに反映されなかった問題を修正しました (AAP-38524)
    * 実行ノードでアクティブに実行中のジョブで、システムタスクによってフォルダーが削除される可能性がある問題を修正しましたAAP-38137
    * automation-controller は 4.6.7 に更新されました

    イベント駆動型 Ansible:
    * ユーザーがルールブックアクティベーション名でルール監査をフィルタリングできなかった問題を修正しましたAAP-39253
    * ユーザーは既存の認証情報をコピーすることで、新しいイベント駆動型 Ansible認証情報を作成できるようになりました (AAP-39249)
    * 認証情報のファイルおよび env インジェクターのサポートを追加しました (AAP-39091)
    * インジェクター設定の入力フィールドを空にできない問題を修正しました (AAP-39086)
    * openapi 仕様のアプリケーションバージョンが不適切に設定されていた問題を修正AAP-38392
    * システムの負荷が高い一部のシナリオでアクティベーションが適切に更新されない問題を修正しましたAAP-38374
    * automation-eda-controller は 1.1.4 に更新されました

    コンテナベースの Ansible Automation Platform
    * ユーザーが外部データベースに Postgresql 管理者アカウントを提供できないようにしました (AAP-39077)
    * 外部データベースによる PostgreSQL TLS 証明書認証の使用が利用可能になりました (AAP-38400)
    * コンテナ化されたインストーラーのセットアップが 2.5-9 に更新されました

    RPM ベースの Ansible Automation Platform
    * ゲートウェイがカスタムSSL証明書で設定されない問題を修正しましたAAP-38985
    * 依存関係が変更されたときにゲートウェイサービスが再起動されない問題を修正しましたAAP-38918
    * automationedacontroller_max_running_activations を設定するとインストーラーが失敗する可能性があった問題を修正しました (AAP-38708)
    * ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-8 に更新されました

    追加の変更:
    * python3.11-django は 4.2.18 に更新されました
    * python3.11-jinja2 は 3.1.5 に更新されました
    * python3.11-pulpcore は 3.49.30 に更新されました

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 5.1.4以前の、5.15.0.10以前の、5.04.2.17以前の 4.2に問題が発見されました。strip_tags() メソッドと striptags テンプレートフィルターは、ネスト化された不完全な HTML エンティティの大きなシーケンスを含む特定の入力を介して、サービス拒否攻撃を受ける可能性があります。 （CVE-2024-53907）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

リモートの Ubuntu 16.04 LTS / LTS 18.04 ホストには、USN-7136-2のアドバイザリに記載された脆弱性の影響を受けるパッケージがインストールされています。

    USN-7136-1 は、Django での脆弱性を修正しています。この更新プログラムは、Ubuntu 16.04 LTS と Ubuntu 18.04 LTS に対応する更新を提供します。



Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2024:4285-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-53907: django.utils.html.strip_tags() のサービス拒否を修正しました (bsc#1234232)
      - CVE-2024-53908: Oracle の HasKey(lhs, rhs) での SQL インジェクションを修正しました (bsc#1234231)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
212064	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 : Django の脆弱性 (USN-7136-1)	Nessus	Ubuntu Local Security Checks	2024/12/4	2025/9/3	critical
214232	RHEL 8/9: Red Hat Ansible Automation Platform 2.5 製品セキュリティおよびバグ修正プログラムの更新 (重要度高) (RHSA-2025:0340)	Nessus	Red Hat Local Security Checks	2025/1/15	2025/8/18	medium
213444	Debian dla-4006: python-django-doc - セキュリティ更新	Nessus	Debian Local Security Checks	2024/12/31	2024/12/31	high
214718	RHEL 8/9: Red Hat Ansible Automation Platform 2.5 製品セキュリティおよびバグ修正プログラムの更新 (重要度高) (RHSA-2025:0777)	Nessus	Red Hat Local Security Checks	2025/1/28	2025/9/24	medium
231775	Linux Distros のパッチ未適用の脆弱性: CVE-2024-53907	Nessus	Misc.	2025/3/6	2025/8/30	high
212066	Ubuntu 16.04 LTS / 18.04 LTS : Django の脆弱性 (USN-7136-2)	Nessus	Ubuntu Local Security Checks	2024/12/4	2025/9/3	high
212730	SUSE SLES15 / openSUSE 15 セキュリティ更新 : python-Django (SUSE-SU-2024:4285-1)	Nessus	SuSE Local Security Checks	2024/12/13	2025/1/17	critical

検出

プラグインの検索

critical

medium

high

medium

high

high

critical