An update for openshift-ansible and ansible is now available for OpenShift Container Platform 3.2 and 3.3.

Red Hat Product Security has rated this update as having a security impact of Moderate. A Common Vulnerability Scoring System (CVSS) base score, which gives a detailed severity rating, is available for each vulnerability from the CVE link(s) in the References section.

Red Hat OpenShift Container Platform is the company's cloud computing Platform-as-a-Service (PaaS) solution designed for on-premise or private cloud deployments.

Security Fix(es) :

* Ansible fails to properly sanitize fact variables sent from the Ansible controller. An attacker with the ability to create special variables on the controller could execute arbitrary commands on Ansible clients as the user Ansible runs as. (CVE-2016-8628)

This issue was discovered by Michael Scherer (Red Hat).

Bug Fix(es) :

* Previous versions of the openshift-ansible code base were not compatible with the latest Ansible 2.2.0.0 release. This bug fix resolves several compatibility issues with the GA version of Ansible 2.2.0.0. (BZ#1389928) (BZ#1389275)

* The hosts.ose.example inventory file had the incorrect openshift_release version set. This bug fix updates the version to match the channel in which it is shipped. (BZ#1386333)

* The etcd certificate authority created by the installer had an expiry date one year in the future. With this bug fix, the expiry date has been updated to five years, matching the lifespan of other certificate authorities created by the installer. (BZ#1391548)

* After restarting systemd-journal, master controllers and API services stopped working. This bug fix updates the installer to set Restart=always for the master controllers and API services, and this issue no longer occurs for new installations. For existing clusters, see https:// access.redhat.com/solutions/2749571. (BZ#1378929)

* When using the quick installer to install a cluster with a single master, the installer messaging suggested that an embedded etcd would be deployed. In newer versions of the quick installer, this is no longer the case, and a stand-alone etcd datastore is deployed in this scenario. This bug fix updates the quick installer messaging to match those changes. (BZ#1383961)

* Upgrades would fail if the /etc/ansible/facts.d/openshift.fact cache was missing on the system, particularly for co-located master and etcd hosts. This bug fix improves etcd fact checking during upgrades, and the issue no longer occurs. (BZ#1391608)

* Containerized upgrades from OpenShift Container Platform 3.2 to 3.3 would fail to properly create the service signing certificate due to an invalid path being used in containerized environments. This bug fix corrects that error, and containerized upgrades now create service signer certificates as a result. (BZ#1391865)

* Upgrades from OpenShift Container Platform 3.2 to 3.3 could fail with the error 'AnsibleUndefinedVariable: 'dict object' has no attribute 'debug_level''. This bug fix sets missing defaults for debug_level, and as a result the upgrade error no longer occurs.
(BZ#1392276)

* Previously in embedded environments, etcd 2.x was used to backup the etcd data before performing an upgrade. However, etcd 2.x has a bug that prevents backups from working properly, preventing the upgrade playbooks from running to completion. With this bug fix, etcd 3.0 is now installed for embedded etcd environments, which resolves the bug allowing upgrades to proceed normally. This bug only presents itself when using the embedded etcd service on single master environments.
(BZ#1382634)

* Pacemaker clusters are no longer supported, but related code that remained could in some cases cause upgrade failures. This bug fix removes the Pacemaker restart logic from the installer to avoid these issues. (BZ# 1382936)

* Previously, upgrades from OpenShift Container Platform 3.1 to 3.2 could fail due to erroneous host names being added for etcd hosts during backup. This bug fix addresses issues with conditionals and loops in templates that caused this problem, and as a result the upgrade errors no longer occur. (BZ#1392169)

All OpenShift Container Platform users are advised to upgrade to these updated packages.

Add patch to fix dnf module groupinstall handling

----

Update to new ansible 2.2 version. 

For full changes see :

https://github.com/ansible/ansible/blob/stable-2.2/CHANGELOG.md

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

现已提供 OpenShift Container Platform 3.2 和 3.3 的 openshift-ansible 和 ansible 更新。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是该公司的云计算平台即服务 (PaaS) 解决方案，专门针对本地部署或私有云端部署而设计。安全修复：* Ansible 无法正确清理从 Ansible 控制器发送的 fact 变量。能够在控制器上创建特殊变量的攻击者可在用户 Ansible 运行时，于 Ansible 客户端上执行任意命令。(CVE-2016-8628) 此问题的发现者为 Michael Scherer (Red Hat)。缺陷修复：* 旧版 openshift-ansible 代码基础与最新的 Ansible 2.2.0.0 版不兼容。此缺陷修复可解决 GA 版 Ansible 2.2.0.0 的数个兼容性问题。(BZ#1389928) (BZ#1389275) * hosts.ose.example 库存文件已设定不正确的 openshift_release 版本。此缺陷修复可更新版本以符合其随附的通道。(BZ#1386333) * 安装程序创建的 etcd 证书颁发机构将在未来一年的某个日期到期。利用此缺陷修复，到期日会更新为五年，进而符合安装程序所创建之其他证书颁发机构的使用时间。(BZ#1391548) * 重新启动 systemd-journal 之后，主控制器和 API 服务停止运行。此缺陷修复可更新安装程序以便为主控制器和 API 服务设定 Restart=always，因此新安装中不再出现此问题。若是现有的群集，请参阅 https:// access.redhat.com/solutions/2749571。(BZ#1378929) * 使用快速安装程序安装具有单一主机的群集时，安装程序消息会建议部署嵌入式 etcd。在更新版的快速安装程序中，已修正此问题，因此在此情况下会部署独立式 etcd 数据存储。此缺陷修复可更新快速安装程序消息以符合这些变更。(BZ#1383961) * 如果系统上缺少 /etc/ansible/facts.d/openshift.fact 缓存，特别是在共置主机和 etcd 主机上，升级将会失败。此缺陷修复可在升级期间改善 etcd fact 检查，因此不再发生此问题。(BZ#1391608) * 从 OpenShift Container Platform 3.2 到 3.3 的容器化升级将无法正确建立服务签名凭证，这是因为在容器化环境中使用无效路径所致。此缺陷修复可修正该错误，因此容器化升级现在会创建服务签名者凭证。(BZ#1391865) * 从 OpenShift Container Platform 3.2 升级到 3.3 可能会失败，并出现错误 'AnsibleUndefinedVariable: ‘dict object’ has no attribute ‘debug_level’’。此缺陷修复可为 debug_level 设定遗漏的默认值，因此不再发生升级错误。(BZ#1392276) * 之前在嵌入式环境中，etcd 2.x 用于在执行升级之前备份 etcd 数据。不过，etcd 2.x 有个阻碍备份正常运行的错误，进而使升级 playbook 无法运行完成。通过此更新，现在会针对 etcd 嵌入式环境安装 etcd 3.0，进而修复缺陷，允许升级正常进行。只有在单一主机环境上使用 etcd 嵌入式服务时，才会出现此缺陷。(BZ#1382634) * Pacemaker 群集不再受支持，但在某些情况下仍然存在的相关代码会使升级失败。此缺陷修复可从安装程序中移除 Pacemaker 重新启动逻辑，以避免这些问题。(BZ# 1382936) * 之前从 OpenShift Container Platform 3.1 升级至 3.2 可能会失败，这是因为在备份期间为 etcd 主机添加错误的主机名所致。此缺陷修复可在模板中解决造成此问题的条件和循环，因此不再发生升级错误。(BZ#1392169) 建议所有 OpenShift Container Platform 用户升级到这些更新版程序包。

現已提供適用於 OpenShift Container Platform 3.2 和 3.3 的 openshift-ansible 和 ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift Container Platform 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。安全性修正：* Ansible 無法正確清理從 Ansible 控制器傳送的 fact 變數。能夠在控制器上建立特殊變數的攻擊者可在使用者 Ansible 執行時，於 Ansible 用戶端上執行任意命令。(CVE-2016-8628) 此問題是由 Michael Scherer (Red Hat) 所發現的。錯誤修正：* 舊版 openshift-ansible 程式碼基底與最新的 Ansible 2.2.0.0 版不相容。此錯誤修正可解決 GA 版 Ansible 2.2.0.0 的數個相容性問題。(BZ#1389928) (BZ#1389275) * hosts.ose.example 庫存檔已設定不正確的 openshift_release 版本。此錯誤修正可更新版本以符合其隨附的通道。(BZ#1386333) * 安裝程式建立的 etcd 憑證授權單位一年後的某個日期到期。利用此錯誤修正，到期日會更新為五年，進而符合安裝程式所建立之其他憑證授權單位的使用時間。(BZ#1391548) * 重新啟動 systemd-journal 之後，主控制器和 API 服務停止運作。此錯誤修正可更新安裝程式以便為主控制器和 API 服務設定 Restart=always，因此新安裝時不再出現此問題。若是現有的叢集，請參閱 https:// access.redhat.com/solutions/2749571。(BZ#1378929) * 使用快速安裝程式安裝具有單一主機的叢集時，安裝程式訊息會建議部署嵌入式 etcd。在更新版的快速安裝程式中，已修正此問題，因此在此情況下會部署獨立式 etcd 資料存放區。此錯誤修正可更新快速安裝程式訊息以符合這些變更。(BZ#1383961) * 如果系統上缺少 /etc/ansible/facts.d/openshift.fact 快取，特別是在共置主機和 etcd 主機上，升級將會失敗。此錯誤修正可在升級期間改善 etcd fact 檢查，因此不再發生此問題。(BZ#1391608) * 從 OpenShift Container Platform 3.2 到 3.3 的容器化升級將無法正確建立服務簽署憑證，這是因為在容器化環境中使用無效路徑所致。此錯誤修正可更正該錯誤，因此容器化升級現在會建立服務簽署者憑證。(BZ#1391865) * 從 OpenShift Container Platform 3.2 升級到 3.3 可能會失敗，並出現錯誤 'AnsibleUndefinedVariable: ‘dict object’ has no attribute ‘debug_level’’。此錯誤修正可為 debug_level 設定遺漏的預設值，因此不再發生升級錯誤。(BZ#1392276) * 之前在嵌入式環境中，etcd 2.x 用於在執行升級之前備份 etcd 資料。不過，etcd 2.x 有一個阻礙備份正常運作的錯誤，進而使升級劇本無法執行完成。透過此更新，現在會針對 etcd 嵌入式環境安裝 etcd 3.0，進而解決錯誤，允許升級正常執行。只有在單一主機環境上使用 etcd 嵌入式服務時，才會呈現此錯誤。(BZ#1382634) * Pacemaker 叢集不再受到支援，但在某些情況下仍然存在的相關程式碼會使升級失敗。此錯誤修正可從安裝程式中移除 Pacemaker 重新啟動邏輯，以避免這些問題。(BZ# 1382936) * 之前從 OpenShift Container Platform 3.1 升級至 3.2 可能會失敗，這是因為在備份期間為 etcd 主機新增了錯誤的主機名稱所致。此錯誤修正可在範本中解決造成此問題的條件和迴圈，因此不再發生升級錯誤。(BZ#1392169) 建議所有 OpenShift Container Platform 使用者皆升級至這些更新版套件。

openshift-ansibleとansibleの更新が、OpenShift Container Platform 3.2と3.3で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。セキュリティ修正プログラム：* AnsibleはAnsibleコントローラーから送信されたファクト変数を正しくサニタイズしません。コントローラー上に特別な変数を作成できる攻撃者が、Ansibleが実行するユーザーとしてAnsibleクライアント上で任意のコマンドを実行する可能性があります。（CVE-2016-8628）この問題は、Michael Scherer氏（Red Hat）により発見されました。バグ修正プログラム：* 以前のバージョンのopenshift-ansibleコードベースは、最新のAnsible 2.2.0.0リリースと互換性がありませんでした。このバグ修正は、GAバージョンのAnsible 2.2.0.0とのいくつかの互換性の問題を解決します。（BZ#1389928）（BZ#1389275）* hosts.ose.exampleインベントリファイルに誤ったopenshift_releaseバージョンが設定されていました。このバグ修正により、出荷されているチャンネルと一致するようにバージョンが更新されました。（BZ#1386333）* インストーラーによって作成されたetcd認証局の有効期限は、1年後でした。このバグ修正により、有効期限は5年に更新され、インストーラーによって作成された他の認証局の有効期限と一致します。（BZ#1391548）* systemd-journalを再起動した後、マスターコントローラーとAPIサービスの動作が停止しました。このバグ修正により、マスターコントローラーとAPIサービスにRestart=alwaysを設定するようにインストーラーが更新され、この問題は新規インストールでは発生しなくなりました。既存のクラスターについては、https://access.redhat.com/solutions/2749571を参照してください。（BZ#1378929）* クイックインストーラーを使用してシングルマスターのクラスターをインストールするとき、組み込みのetcdを展開するよう推奨するメッセージがインストーラーに表示されました。新しいバージョンのクイックインストーラーではこれは表示されなくなり、このシナリオでは、スタンドアロンのetcdデータストアが展開されます。このバグ修正により、これらの変更に合うようにクイックインストーラーのメッセージが更新されました。（BZ#1383961）* システム上に/etc/ansible/facts.d/openshift.factキャッシュがない場合、特に同じ場所にあるマスターホストとetcdホストの場合は、アップグレードに失敗します。このバグ修正により、アップグレード中のetcdファクトチェックが改善され、問題が発生しなくなりました。（BZ#1391608）* OpenShift Container Platform 3.2から3.3へのコンテナ化されたアップグレードでは、コンテナ化された環境で無効なパスが使用されているため、サービス署名証明書を正しく作成できません。このバグ修正により、このエラーが修正され、コンテナ化されたアップグレードでサービス署名者証明書が作成されるようになりました。（BZ#1391865）* OpenShift Container Platform 3.2から3.3へのアップグレードは、「AnsibleUndefinedVariable: 'dict object' has no attribute 'debug_level'」というエラーで失敗する可能性があります。このバグ修正により、debug_levelに欠落していたデフォルトが設定され、アップグレードエラーが発生しなくなりました。（BZ#1392276）* 以前は、組み込み環境ではアップグレードを実行する前にetcd 2.xを使用してetcdデータをバックアップしていました。ただし、etcd 2.xにはバックアップが正しく機能しないバグがあるため、アップグレードプレイブックの実行を完了できません。このバグ修正により、etcd 3.0が組み込みのetcd環境にインストールされると、バグが解決されてアップグレードが正常に進行します。このバグは、シングルマスター環境で組み込みのetcdサービスを使用している場合にのみ発生します。(BZ#1382634) * Pacemakerクラスターはサポートされなくなりましたが、関連コードが残っているとアップグレードに失敗する場合があります。このバグ修正により、これらの問題を回避するためにインストーラーからPacemaker再起動ロジックが削除されます。（BZ# 1382936）* 以前は、バックアップ中にetcdホストに誤ったホスト名が追加されるため、OpenShift Container Platform 3.1から3.2へのアップグレードに失敗することがありました。このバグ修正により、この問題の原因となっていたテンプレートの条件やループに関する問題が解決し、アップグレードエラーは発生しなくなります。（BZ#1392169）すべてのOpenShift Container Platformユーザーは、これらの更新済みパッケージにアップグレードすることが推奨されます。

dnfモジュールgroupinstallの処理を修正するパッチを追加します

----

新しいansible 2.2バージョンに更新してください。 

完全な変更点については、以下を参照してください：

https://github.com/ansible/ansible/blob/stable-2.2/CHANGELOG.md

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートの SUSE Linux SLES15/ openSUSE 15 ホストには、SUSE-SU-2024:1509-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン 2.2.0 より前の Ansible に欠陥が見つかりました。apt_key モジュールが鍵のフィンガープリントを適切に検証しないため、リモートの攻撃者が、短い鍵 ID に一致する OpenPGP キーを作成し、正しい鍵の代わりにこの鍵を挿入する可能性があります。(CVE-2016-8614)

  - バージョン 2.2.0 より前の Ansible は Ansible コントローラーから送信されたファクト変数を正しくサニタイズしません。
    コントローラー上に特別な変数を作成できる攻撃者が、Ansible が実行するユーザーとして Ansible クライアント上で任意のコマンドを実行する可能性があります。(CVE-2016-8628)

  - 2.2.1.0 より前の Ansible の mysql_user モジュールに、入力検証の脆弱性が見つかりました。特定の状況で正しくパスワードを変更しない可能性があります。したがって、パスワードを変更したときに、変更前のパスワードが有効なままの場合があります。(CVE-2016-8647)

  - バージョン 2.1.4、2.2.1 より前の Ansible は、クライアントシステムから送信されたデータを Ansible が処理する際に、不適切な入力検証の脆弱性があります。Ansible で管理されたクライアントシステムを制御し、Ansible サーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansible サーバー権限を使用して Ansible サーバーで任意のコードを実行する可能性があります。(CVE-2016-9587)

  - Ansible (2.3.3 より前の 2.3.x、および 2.4.1 より前の, 2.4.x) が特定のパラメーターを jenkins_plugin モジュールに渡す方法に、欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、リモートホストのログから秘密情報を漏洩させる可能性があります。この欠陥は、パスワードが params 引数で指定されないようにすることで修正されており、その旨がモジュールのドキュメントに記載されています。(CVE-2017-7550)

  - ansible では、攻撃者のコントロール下にあるアドホックコマンドを実行すると、インベントリ変数が現在の作業ディレクトリからロードされ、その結果として任意のコードが実行される可能性があることがわかりました。
    (CVE-2018-10874)

  - 欠陥 CVE-2020-1733 ansible の修正に、不完全な修正がありました: become ディレクティブから become_user を実行する際の安全でない一時ディレクトリ。提供された修正は、ACL および FUSE ファイルシステムを使用するシステムでの競合状態を防ぐには不十分です。Ansible Engine 2.7.18、2.8.12、および 2.9.9 と以前のバージョンが影響を受け、Ansible Tower 3.4.5、3.5.6 および 3.6.4 と以前のバージョンが影響を受けます。(CVE-2020-10744)

  - uriモジュールを使用するときにAnsibleでログの不適切な出力中性化の欠陥が見つかりました。機密データがコンテンツとjson出力に漏洩されます。この欠陥により、攻撃者は実行されたタスクのログまたは出力にアクセスして、プレイブックで使用されたキーを他のユーザーからuriモジュール内で読み取ることができます。この脆弱性による主な脅威は、データの機密性に関するものです。(CVE-2020-14330)

  - module_argsを使用する際に、Ansible Engineに欠陥が見つかりました。チェックモードで実行されたタスク (--check-mode) は、イベントデータで漏洩した機密データを適切に無効にしません。この欠陥により、認証されていないユーザーがこのデータを読み取る可能性があります。この脆弱性による主な脅威は、機密性に関するものです。
    (CVE-2020-14332)

  - Ansible Engineにおいて、ansible-engine 2.8.15より前の2.8.xおよびansible-engine2.9.13より前の2.9.xで、dnfモジュールを使用してパッケージをインストールする際に、欠陥が発見されました。disable_gpg_checkがデフォルト動作のFalseに設定されていても、インストール中にGPG署名が無視されます。この欠陥により、悪意のあるパッケージがシステムにインストールされ、パッケージインストールスクリプトを介して任意のコードが実行されます。この脆弱性が最大の脅威となるのは、整合性とシステムの可用性です。
    (CVE-2020-14365)

  - k8sモジュールを使用してkubernetesを管理する際、セキュリティの欠陥はAnsible Engine、2.7.17より前のAnsible 2.7.xバージョン、2.8.11より前のAnsible 2.8.xバージョン、および2.9.7より前のAnsible 2.9.xバージョンで、セキュリティの欠陥が見つかりました。パスワードやトークンなどの機密パラメーターが、環境変数や入力設定ファイルを使用せずに、コマンドラインからkubectlに渡されます。これにより、プロセスリストからパスワードとトークンが漏洩し、デバッグモジュールからの no_log ディレクティブに影響がなく、これらの機密は stdout およびログファイルで漏洩されます。(CVE-2020-1753)

  - Ansible にテンプレートインジェクションの欠陥が見つかりました。ユーザーのコントローラーの内部テンプレート操作により、テンプレートデータから安全でない指定が削除される可能性があります。この問題により、攻撃者が特別に細工されたファイルを使用して、テンプレートデータを提供するときにテンプレートインジェクションを導入する可能性があります。(CVE-2023-5764)

  - ユーザーがサインアップして検証した後にメールを変更すると、プロファイル設定で検証なしで変更できる可能性があります。設定オプション verify_email_enabled は、サインアップ時にのみメールを検証します。(CVE-2023-6152)

  - 一部のシナリオで ANSIBLE_NO_LOG 設定を順守しないため、ansible-core に情報漏洩の欠陥が見つかりました。ループアイテムなどの特定のタスクの出力に、情報がまだ含まれています。タスクによっては、この問題には、複合化された秘密の値などの機密情報が含まれる場合があります。(CVE-2024-0690)

  - スナップショットの所有者とは異なる組織のユーザーが、ビューキーを使用して /api/snapshots/<key> に DELETE リクエストを発行することで、承認をバイパスし、スナップショットを削除することが可能です。この機能は、問題のスナップショットへの書き込み/編集のアクセス許可を持つ個人のみが使用できるようになっていますが、承認ロジックのバグにより、スナップショットの所有者とは異なる組織の権限のないユーザーによって発行された削除リクエストは、承認されたものとして扱われます。Grafana Labs は、この脆弱性を発見し公表してくださった Palo Alto Research の Ravid Mazon 氏および Jay Chen 氏に感謝の意を表します。この問題は次の Grafana に影響を与えます。9.5.0 から 9.5.18 まで、10.0.0 から 10.0.13 まで、10.1.0 から 10.1.9 まで、10.2.0 から 10.2.6 まで、10.3.0 から 10.3.5 まで。(CVE-2024-1313)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このバージョン 2.4.1.0へのansible の更新により、次の脆弱性が修正されます：

  - CVE-2017-7481: jinja2環境を汚染しないlookupの戻り値のセキュリティ問題（bsc#1038785）

  - CVE-2016-9587: ホストからコントローラーへのコマンド実行の脆弱性（bsc#1019021）

  - CVE-2016-8628: 侵害されたサーバーによるファクト変数を介したコマンドインジェクション（bsc#1008037）

  - CVE-2016-8614: apt_keyモジュールのキーフィンガープリントの不適切な検証（bsc#1008038）

  - CVE-2017-7550: jenkins_pluginモジュールがリモートホストlogでパスワードを漏洩する可能性がありました（bsc#1065872）

この更新には、多数のUpstreamのバグ修正と改善も含まれています。

This update for ansible to version 2.4.1.0 fixes the following vulnerabilities :

  - CVE-2017-7481: Security issue with lookup return not     tainting the jinja2 environment (bsc#1038785)

  - CVE-2016-9587: host to controller command execution     vulnerability (bsc#1019021)

  - CVE-2016-8628: Command injection by compromised server     via fact variables (bsc#1008037)

  - CVE-2016-8614: Improper verification of key fingerprints     in apt_key module (bsc#1008038)

  - CVE-2017-7550: jenkins_plugin module may have exposed     passwords in remote host logs (bsc#1065872)

This update also contains a number of upstream bug fixes and improvements.

The remote SUSE Linux SLES15 / openSUSE 15 host has packages installed that are affected by multiple vulnerabilities as referenced in the SUSE-SU-2024:1509-1 advisory.

  - A flaw was found in Ansible before version 2.2.0. The apt_key module does not properly verify key     fingerprints, allowing remote adversary to create an OpenPGP key which matches the short key ID and inject     this key instead of the correct key. (CVE-2016-8614)

  - Ansible before version 2.2.0 fails to properly sanitize fact variables sent from the Ansible controller.
    An attacker with the ability to create special variables on the controller could execute arbitrary     commands on Ansible clients as the user Ansible runs as. (CVE-2016-8628)

  - An input validation vulnerability was found in Ansible's mysql_user module before 2.2.1.0, which may fail     to correctly change a password in certain circumstances. Thus the previous password would still be active     when it should have been changed. (CVE-2016-8647)

  - Ansible before versions 2.1.4, 2.2.1 is vulnerable to an improper input validation in Ansible's handling     of data sent from client systems. An attacker with control over a client system being managed by Ansible     and the ability to send facts back to the Ansible server could use this flaw to execute arbitrary code on     the Ansible server using the Ansible server privileges. (CVE-2016-9587)

  - A flaw was found in the way Ansible (2.3.x before 2.3.3, and 2.4.x before 2.4.1) passed certain parameters     to the jenkins_plugin module. Remote attackers could use this flaw to expose sensitive information from a     remote host's logs. This flaw was fixed by not allowing passwords to be specified in the params     argument, and noting this in the module documentation. (CVE-2017-7550)

  - In ansible it was found that inventory variables are loaded from current working directory when running     ad-hoc command which are under attacker's control, allowing to run arbitrary code as a result.
    (CVE-2018-10874)

  - An incomplete fix was found for the fix of the flaw CVE-2020-1733 ansible: insecure temporary directory     when running become_user from become directive. The provided fix is insufficient to prevent the race     condition on systems using ACLs and FUSE filesystems. Ansible Engine 2.7.18, 2.8.12, and 2.9.9 as well as     previous versions are affected and Ansible Tower 3.4.5, 3.5.6 and 3.6.4 as well as previous versions are     affected. (CVE-2020-10744)

  - An Improper Output Neutralization for Logs flaw was found in Ansible when using the uri module, where     sensitive data is exposed to content and json output. This flaw allows an attacker to access the logs or     outputs of performed tasks to read keys used in playbooks from other users within the uri module. The     highest threat from this vulnerability is to data confidentiality. (CVE-2020-14330)

  - A flaw was found in the Ansible Engine when using module_args. Tasks executed with check mode (--check-     mode) do not properly neutralize sensitive data exposed in the event data. This flaw allows unauthorized     users to read this data. The highest threat from this vulnerability is to confidentiality.
    (CVE-2020-14332)

  - A flaw was found in the Ansible Engine, in ansible-engine 2.8.x before 2.8.15 and ansible-engine 2.9.x     before 2.9.13, when installing packages using the dnf module. GPG signatures are ignored during     installation even when disable_gpg_check is set to False, which is the default behavior. This flaw leads     to malicious packages being installed on the system and arbitrary code executed via package installation     scripts. The highest threat from this vulnerability is to integrity and system availability.
    (CVE-2020-14365)

  - A security flaw was found in Ansible Engine, all Ansible 2.7.x versions prior to 2.7.17, all Ansible 2.8.x     versions prior to 2.8.11 and all Ansible 2.9.x versions prior to 2.9.7, when managing kubernetes using the     k8s module. Sensitive parameters such as passwords and tokens are passed to kubectl from the command line,     not using an environment variable or an input configuration file. This will disclose passwords and tokens     from process list and no_log directive from debug module would not have any effect making these secrets     being disclosed on stdout and log files. (CVE-2020-1753)

  - A template injection flaw was found in Ansible where a user's controller internal templating operations     may remove the unsafe designation from template data. This issue could allow an attacker to use a     specially crafted file to introduce templating injection when supplying templating data. (CVE-2023-5764)

  - A user changing their email after signing up and verifying it can change it without verification in     profile settings. The configuration option verify_email_enabled will only validate email only on sign     up. (CVE-2023-6152)

  - An information disclosure flaw was found in ansible-core due to a failure to respect the ANSIBLE_NO_LOG     configuration in some scenarios. Information is still included in the output in certain tasks, such as     loop items. Depending on the task, this issue may include sensitive information, such as decrypted secret     values. (CVE-2024-0690)

  - It is possible for a user in a different organization from the owner of a snapshot to bypass authorization     and delete a snapshot by issuing a DELETE request to /api/snapshots/<key> using its view key. This     functionality is intended to only be available to individuals with the permission to write/edit to the     snapshot in question, but due to a bug in the authorization logic, deletion requests issued by an     unprivileged user in a different organization than the snapshot owner are treated as authorized. Grafana     Labs would like to thank Ravid Mazon and Jay Chen of Palo Alto Research for discovering and disclosing     this vulnerability. This issue affects Grafana: from 9.5.0 before 9.5.18, from 10.0.0 before 10.0.13, from     10.1.0 before 10.1.9, from 10.2.0 before 10.2.6, from 10.3.0 before 10.3.5. (CVE-2024-1313)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

ID	名前	製品	ファミリー	公開日	更新日	深刻度
119385	RHEL 7 : atomic-openshift-utils (RHSA-2016:2778)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	critical
94614	Fedora 24 : ansible (2016-3113e71193)	Nessus	Fedora Local Security Checks	2016/11/8	2021/1/11	critical
119385	RHEL 7 : atomic-openshift-utils (RHSA-2016:2778)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	critical
119385	RHEL 7：atomic-openshift-utils (RHSA-2016:2778)	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	critical
119385	RHEL 7：atomic-openshift-utils（RHSA-2016:2778）	Nessus	Red Hat Local Security Checks	2018/12/4	2020/6/11	critical
94614	Fedora 24：ansible（2016-3113e71193）	Nessus	Fedora Local Security Checks	2016/11/8	2021/1/11	critical
195097	SUSE SLES15 / openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2024:1509-1)	Nessus	SuSE Local Security Checks	2024/5/7	2024/5/7	critical
104522	openSUSEセキュリティ更新プログラム：ansible（openSUSE-2017-1259）	Nessus	SuSE Local Security Checks	2017/11/13	2021/11/30	critical
94999	Fedora 25：ansible（2016-3ccb098630）	Nessus	Fedora Local Security Checks	2016/11/21	2021/1/11	critical
94999	Fedora 25 : ansible (2016-3ccb098630)	Nessus	Fedora Local Security Checks	2016/11/21	2021/1/11	critical
104522	openSUSE Security Update : ansible (openSUSE-2017-1259)	Nessus	SuSE Local Security Checks	2017/11/13	2021/11/30	critical
195097	SUSE SLES15 / openSUSE 15 Security Update : SUSE Manager Client Tools (SUSE-SU-2024:1509-1)	Nessus	SuSE Local Security Checks	2024/5/7	2024/5/7	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical