したがって、ALAS2023-2025-918 のアドバイザリに記載されている脆弱性の影響を受けます。

    Ansible に欠陥が見つかりました。ansible-core の「user」モジュールにより、特権ユーザーが、特権のないユーザーのホームディレクトリに対して「user」モジュールを実行すると、特権のないユーザーが、信号を送らずにシステムパス上のファイルのコンテンツを作成または置換し、所有権を取得できるようになります。特権のないユーザーが、悪用されたターゲットファイルを含むディレクトリに対するトラバーサルアクセス許可を持っている場合、所有者としてファイルのコンテンツに対する完全なコントロールを保持します。(CVE-2024-9902)

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 9 ホストに、RHSA-2025:1861 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    python 3.9 ベースの OpenStack 用の ansible-core リビルド。

    セキュリティ修正プログラム:

    * Jinja には、悪意のあるファイル名によるサンドボックスブレイクアウトが存在します (CVE-2024-56201)

    * Jinja には、フォーマットメソッドへの間接参照によるサンドボックスブレイクアウトが存在します (CVE-2024-56326)

    * ansible-core ユーザーが認証されていないコンテンツを読み取る/書き込む可能性があります (CVE-2024-9902)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、[参照] セクションに記載されている CVE のページを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:9894 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、企業全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:

    * ansible-core: 不適切なロギングによる Ansible Vault ファイルの機密情報の漏洩 (CVE-2024-8775)
    * ansible-core: ansible-core ユーザーが認証されていないコンテンツを読み取る/書き込む可能性があります (CVE-2024-9902)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    更新と修正に含まれる内容:

    Automation Platform UI
    * インベントリグループのホストのフィルター除外を修正 (AAP-34752)
    * automation-gateway が 2.5.3-2 に更新されました

    コンテナベースの Ansible Automation Platform
    * ポート値が gateway_main_url 変数で定義されていない場合の問題を修正 (AAP-34716)
    * デフォルト値を使用する場合は画像 URL にポートを追加しません (AAP-34070)
    * コンテナ化されたインストーラーのセットアップが 2.5-4 に更新されました

    RPM ベースの Ansible Automation Platform
    * 複数のハブノードが設定されているときに gpg エージェントソケットが適切に設定されない問題を修正 (AAP-34067)
    * ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-5 に更新されました

    追加の変更
    * ansible-core は 2.16.13 に更新されました
    * 分子は 24.9.0-2 に更新されました

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2024:10762 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、企業全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:
    * automation-controller: dompurify: プロトタイプ汚染による XSS の脆弱性 (CVE-2024-45801)
    * automation-controller: path-to-regexp: 正規表現のバックトラッキングにより ReDoS が引き起こされます (CVE-2024-45296)
    * ansible-core: 不適切なロギングによる Ansible Vault ファイルの機密情報の漏洩 (CVE-2024-8775)
    * ansible-core: ansible-core ユーザーが認証されていないコンテンツを読み取る/書き込む可能性があります (CVE-2024-9902)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    オートメーションコントローラーの更新と修正。
    * ルール間隔が HOURLY または MINUTELY に設定されていたときの不適切な時間のジョブスケジュールの実行を修正します (AAP-36573)
    * 機密データがジョブ出力に表示される問題を修正しました (AAP-35582)
    * この更新では、冗長性が 2 より大きいときに構築されたインベントリを保存できるようになりました (AAP-35570)
    * 関連していないジョブが他のジョブとの依存関係としてマークされる可能性があるバグを修正 (AAP-35310)
    * Bitbucket Data Center から Webhook を受信するためのサポートを追加し、ビルドステータスを戻すためのサポートを追加します (AAP-35013)
    * 通知に組織フィールドがないか NULL の場合に、通知リストにエラーが発生しなくなりました (AAP-34051)
    * Thycotic シークレットサーバーの認証情報フォームフィールドが不一致になる問題を修正しました (AAP-31236)
    * automation-controller は 4.5.13 に更新されました

    receptor の更新と修正:
    * Receptor ランタイムパニックエラーを引き起こす問題を修正しました (AAP-36477)
    * receptor は 1.5.1 に更新されました 

    インストーラーとセットアップの更新と修正:
    * 現在は「receptor_datadir」変数を使用して Receptor データディレクトリを設定できます (AAP-36699)
    * オートメーションコントローラーの更新後に metrics-utility コマンドの実行が失敗する問題を修正しました (AAP-36567)
    * ディスパッチャーサービスが FATAL ステータスになり、データベースが数分間停止した後に新しいジョブを処理できない問題を修正 (AAP-36456)
    * バックアップの復元後にデータベースの RBAC に不適切な ID が表示される問題を修正しました (AAP-35311)
    * この更新により、CA または主要な情報を含むインストーラータスクが難読化されます (AAP-27480)
    * インストーラーとセットアップが 2.4-8 に更新されました

    注意: 2.4-8 インストーラーは、2.4-8 以降でのみ作成されたバックアップを復元できます。 2.4-8 以降へのアップグレードの前後に、必ずバックアップを作成してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Debian 11 ホストには、dla-3963 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    - ------------------------------------------------------------------------- Debian LTS アドバイザリ DLA-3963-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 23 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    パッケージ : ansible バージョン : 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2 CVE ID : CVE-2024-8775 CVE-2024-9902 Debian バグ : 1082851

    Ansible は、コマンドラインの IT 自動化ソフトウェアアプリケーションです。
    システムの設定、ソフトウェアの展開、高度なワークフローの調整を行うことで、アプリケーションの展開やシステムの更新などをサポートできます。

    Ansible は 2 つの脆弱性の影響を受けています:

    CVE-2024-8775

        Ansible に欠陥が見つかり、プレイブックの実行中に Ansible Vault ファイルに保存されている機密情報が平文で漏洩する可能性があります。これは、include_vars などのタスクを使用して、no_log: true パラメーターを設定せずに Vaulted 変数をロードした場合に発生し、プレイブックの出力またはログに機密データが印刷される可能性があります。これにより、パスワードや API キーなどの機密情報が意図せずに漏洩し、セキュリティが危険にさらされ、認証されていないアクセスやアクションが実行される可能性があります。

    CVE-2024-9902

        ansible-core の「user」モジュールにより、特権ユーザーが、特権のないユーザーのホームディレクトリに対して「user」モジュールを実行すると、特権のないユーザーが、信号を送らずにシステムパス上のファイルのコンテンツを作成または置換し、所有権を取得できるようになります。
        権限のないユーザーが、悪用されたターゲットファイルを含むディレクトリに対するトラバーサルアクセス許可を持っている場合、所有者としてファイルのコンテンツに対する完全なコントロールを保持します。

    Debian 11 bullseye においては、これらの問題はバージョン 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2 で修正されました。

    お使いのansibleパッケージをアップグレードすることを推奨します。

    ansibleの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
    https://security-tracker.debian.org/tracker/ansible

    Debian LTS セキュリティアドバイザリに関する詳細、これらの更新をシステムに適用する方法、およびよくある質問については、こちらを参照してください。https://wiki.debian.org/LTS

Tenable は、前述の説明ブロックを Debian セキュリティアドバイザリから直接抽出しました。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Azure Linux 3.0 ホストにインストールされている ansible のバージョンは、 より前です。したがって、CVE-2024-9902 のアドバイザリに記載されている脆弱性の影響を受けます。

  - Ansible に欠陥が見つかりました。ansible-core の「user」モジュールにより、特権ユーザーが、特権のないユーザーのホームディレクトリに対して「user」モジュールを実行すると、特権のないユーザーが、信号を送らずにシステムパス上のファイルのコンテンツを作成または置換し、所有権を取得できるようになります。特権のないユーザーが、悪用されたターゲットファイルを含むディレクトリに対するトラバーサルアクセス許可を持っている場合、所有者としてファイルのコンテンツに対する完全なコントロールを保持します。(CVE-2024-9902)

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
233701	Amazon Linux 2023 : ansible-core、ansible-test (ALAS2023-2025-918)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	medium
216778	RHEL 9 : Red Hat OpenStack Platform 17.1.4 (openstack-ansible-core) (RHSA-2025:1861)	Nessus	Red Hat Local Security Checks	2025/2/25	2025/6/18	medium
211764	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.5 製品リリース更新プログラム (重要度中) (RHSA-2024:9894)	Nessus	Red Hat Local Security Checks	2024/11/24	2024/11/24	medium
212033	RHEL 8 / 9 : Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度中) (RHSA-2024:10762)	Nessus	Red Hat Local Security Checks	2024/12/3	2024/12/3	high
211754	Debian dla-3963 : ansible - セキュリティ更新	Nessus	Debian Local Security Checks	2024/11/24	2024/11/24	medium
241882	Azure Linux 3.0 セキュリティ更新ansibleCVE-2024-9902	Nessus	Azure Linux Local Security Checks	2025/7/11	2025/7/11	medium

検出

プラグインの検索

medium

medium

medium

high

medium

medium