ansibleとceph-ansibleの更新プログラムが、Red Hat Storage Console 2で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。ceph-ansibleパッケージは、Red Hat Ceph Storageのインストール、メンテナンス、およびアップグレードのためのAnsible Playbookを提供します。Ansibleは、単純なモデル駆動の構成管理、マルチノード展開、およびリモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。ceph-installer（1.2.2）、ansible（2.2.1.0）、python-passlib（1.6.5）、ceph-ansible（2.1.9）のパッケージが新しいアップストリームバージョンにアップグレードされました。（BZ#1405630）セキュリティ修正プログラム：* クライアントシステムから送信されたデータをAnsibleが処理する過程に、入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2016-9587）バグ修正プログラム：* 以前は、ceph-ansibleユーティリティがスワップパーティションを永続的に無効にしました。この更新プログラムにより、ceph-ansibleはスワップを無効にできなくなりました。（BZ#1364167）* 以前は、ceph-ansibleユーティリティは暗号化されたOSDノードの追加をサポートしていませんでした。その結果、暗号化されたOSDノードで、新しいバージョン、マイナーバージョン、またはメジャーバージョンにアップグレードしようと試みても失敗していました。さらに、Ansibleはディスクアクティベーションタスク中に、次のエラーメッセージを返していました。mount：不明なファイルシステムタイプ「crypto_LUKS」。この更新プログラムにより、ceph-ansibleは暗号化されたOSDノードを追加し、期待どおりにアップグレードされるようサポートします。（BZ#1366808）* 基礎となるソースコードにバグがあるため、ceph-ansibleユーティリティが、copy roundepタスクで失敗することがありました。その結果、インストールプロセスが失敗していました。このバグは修正され、現在はインストールが期待どおりに進行します。（BZ#1382878）* 以前は、空の変数により、ceph-osdロールの「ジャーナルデバイスのGPTヘッダーまたはラベルのパーティション修正」タスクで、ceph-ansibleユーティリティを使用したインストールが失敗していました。基礎となるソースコードが変更されており、この状況でインストールは失敗しなくなりました。（BZ#1400967）* 以前は、ceph-ansibleユーティリティによって実行されたRed Hat Console Agentのセットアップは、CDN（Content Delivery Network）を使用したインストールのみをサポートしていました。ISOファイルまたはローカルのYumリポジトリを使用したインストールでは失敗していました。この更新プログラムにより、すべてのインストールが成功します。（BZ#1403576）* 以前は、ceph-ansibleユーティリティは暗号化されたOSDデバイスでクラスタをパージすることができませんでした。基礎となるceph-diskユーティリティが「--zap-disk」オプションを使用して、暗号化されたデバイスのパーティションテーブルを破棄することができなかったためです。基礎となるソースコードが修正され、暗号化されたデバイスでceph-diskが「--zap-disk」オプションを使用できるようになりました。その結果、ceph-ansibleは暗号化されたOSDデバイスを使用して期待どおりにクラスタをパージすることができます。（BZ#1414647）* 以前は、IPv6アドレッシングを使用するノードを持つCephクラスタの作成中に、ceph-ansibleがCeph設定ファイルに「ms bind ipv6」キーを追加しましたが、値が割り当てられませんでした。この動作が原因で、クラスタ作成後に設定ファイルを解析すると、エラーが発生していました。この更新プログラムにより、「ms bind ipv6」キーがCeph設定ファイルに適切に設定されたため、IPv6アドレッシングを使用するクラスタ上で適切に設定ファイルの解析が可能です。（BZ#1419814）拡張機能：* ceph-ansibleユーティリティがクライアントロールをサポートするようになりました。この新しいロールにより、Ansibleを使用してCephクライアントをインストールし、ノードを展開してCephクラスタに対してテストを実行することができます。（BZ#1384622）* ceph-installer APIは、同じデバイス上にジャーナルを配置したOSDノードのインストールをサポートするようになりました。（BZ#1412867）

リモート Redhat Enterprise Linux 7 ホストに、RHSA-2017:0260 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Ansible は、単純なモデル駆動の構成管理、マルチノード展開、およびリモートタスク実行システムです。Ansible はSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。

    gdeploy パッケージは、GluterFS をセットアップして構成する Ansible モジュールを提供します。

    セキュリティ修正プログラム:

    * クライアントシステムから送信されたデータを Ansible が処理する方法に、入力検証の脆弱性が見つかりました。Ansible で管理されたクライアントシステムを制御し、Ansible サーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansible サーバー権限を使用して Ansible サーバーで任意のコードを実行する可能性があります。(CVE-2016-9587)

    バグ修正プログラム:

    * 以前は、SELinux Policy Management ツールがインストールされていなかった場合、gdeploy はエラーを表示しませんでした。
    そのため、SELinux のコンテキストは設定されていませんでした。この更新プログラムでは、SELinux Policy Management ツールがマシンにインストールされていない場合、gdeploy がエラーをスローします。(BZ#1340038)

    * この更新プログラムでは、glusterfs サービスの Slice Unit 構成機能が導入され、特定のメモリ、CPU の制限内でプロセスを妨げるための階層を構成します。この機能により、Red Hat Gluster Storage のシステムユニットが指定された Slice 内で起動します。Slice を設定するには、slice_setup=yes のパラメーターを構成ファイルに追加します。（BZ#1349790）

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ansibleの更新プログラムがRHEV Engine version 4.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：ansible （2.3.0.0）（BZ#1446527）セキュリティ修正プログラム：* クライアントシステムから送信されたデータをAnsibleが処理する方法に、入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2016-9587）* クライアントシステムから送信されたデータをAnsibleが処理する方法に、入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2017-7466）* Ansibleのmysql_userモジュールに、入力検証の脆弱性が見つかりました。特定の状況で正しくパスワードを変更しない可能性があります。したがって、パスワードを変更したときに、変更前のパスワードが有効なままの場合があります。（CVE-2016-8647）CVE-2017-7466の問題は、Evgeni Golov氏（Red Hat）によって発見されました。

ansibleおよびopenshift-ansibleの更新プログラムが、Red Hat OpenShift Container Platform 3.2、Red Hat OpenShift Container Platform 3.3、Red Hat OpenShift Container Platform 3.4で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、同社のクラウドコンピューティングのサービスとしてのプラットフォーム（PaaS）ソリューションです。Ansibleは、SSHベースの構成管理、展開、タスク実行システムです。openshift-ansibleパッケージには、OpenShift Container Platform 3のインストールとアップグレードのためのAnsibleコードとプレイブックが含まれています。セキュリティ修正プログラム：* クライアントシステムから送信されたデータのAnsibleの処理に入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2016-9587）バグ修正プログラム：スペースの関係上、非セキュリティバグ修正がすべてこのアドバイザリに記載されているわけではありません。「参照」セクションにリンクされている関連する『OpenShift Container Platformリリースノート』を参照してください。これは、このリリースで間もなく更新されます。

Computestによる報告:

Computestは、侵害されたホストがAnsibleコントローラーでコマンドを実行し、そのコントローラーによって制御されている他のホストにアクセスすることを可能にするいくつかの問題を発見し、悪用しました。

リモートの SUSE Linux SLES15/ openSUSE 15 ホストには、SUSE-SU-2024:1509-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - バージョン 2.2.0 より前の Ansible に欠陥が見つかりました。apt_key モジュールが鍵のフィンガープリントを適切に検証しないため、リモートの攻撃者が、短い鍵 ID に一致する OpenPGP キーを作成し、正しい鍵の代わりにこの鍵を挿入する可能性があります。(CVE-2016-8614)

  - バージョン 2.2.0 より前の Ansible は Ansible コントローラーから送信されたファクト変数を正しくサニタイズしません。
    コントローラー上に特別な変数を作成できる攻撃者が、Ansible が実行するユーザーとして Ansible クライアント上で任意のコマンドを実行する可能性があります。(CVE-2016-8628)

  - 2.2.1.0 より前の Ansible の mysql_user モジュールに、入力検証の脆弱性が見つかりました。特定の状況で正しくパスワードを変更しない可能性があります。したがって、パスワードを変更したときに、変更前のパスワードが有効なままの場合があります。(CVE-2016-8647)

  - バージョン 2.1.4、2.2.1 より前の Ansible は、クライアントシステムから送信されたデータを Ansible が処理する際に、不適切な入力検証の脆弱性があります。Ansible で管理されたクライアントシステムを制御し、Ansible サーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansible サーバー権限を使用して Ansible サーバーで任意のコードを実行する可能性があります。(CVE-2016-9587)

  - Ansible (2.3.3 より前の 2.3.x、および 2.4.1 より前の, 2.4.x) が特定のパラメーターを jenkins_plugin モジュールに渡す方法に、欠陥が見つかりました。リモートの攻撃者がこの欠陥を利用して、リモートホストのログから秘密情報を漏洩させる可能性があります。この欠陥は、パスワードが params 引数で指定されないようにすることで修正されており、その旨がモジュールのドキュメントに記載されています。(CVE-2017-7550)

  - ansible では、攻撃者のコントロール下にあるアドホックコマンドを実行すると、インベントリ変数が現在の作業ディレクトリからロードされ、その結果として任意のコードが実行される可能性があることがわかりました。
    (CVE-2018-10874)

  - 欠陥 CVE-2020-1733 ansible の修正に、不完全な修正がありました: become ディレクティブから become_user を実行する際の安全でない一時ディレクトリ。提供された修正は、ACL および FUSE ファイルシステムを使用するシステムでの競合状態を防ぐには不十分です。Ansible Engine 2.7.18、2.8.12、および 2.9.9 と以前のバージョンが影響を受け、Ansible Tower 3.4.5、3.5.6 および 3.6.4 と以前のバージョンが影響を受けます。(CVE-2020-10744)

  - uriモジュールを使用するときにAnsibleでログの不適切な出力中性化の欠陥が見つかりました。機密データがコンテンツとjson出力に漏洩されます。この欠陥により、攻撃者は実行されたタスクのログまたは出力にアクセスして、プレイブックで使用されたキーを他のユーザーからuriモジュール内で読み取ることができます。この脆弱性による主な脅威は、データの機密性に関するものです。(CVE-2020-14330)

  - module_argsを使用する際に、Ansible Engineに欠陥が見つかりました。チェックモードで実行されたタスク (--check-mode) は、イベントデータで漏洩した機密データを適切に無効にしません。この欠陥により、認証されていないユーザーがこのデータを読み取る可能性があります。この脆弱性による主な脅威は、機密性に関するものです。
    (CVE-2020-14332)

  - Ansible Engineにおいて、ansible-engine 2.8.15より前の2.8.xおよびansible-engine2.9.13より前の2.9.xで、dnfモジュールを使用してパッケージをインストールする際に、欠陥が発見されました。disable_gpg_checkがデフォルト動作のFalseに設定されていても、インストール中にGPG署名が無視されます。この欠陥により、悪意のあるパッケージがシステムにインストールされ、パッケージインストールスクリプトを介して任意のコードが実行されます。この脆弱性が最大の脅威となるのは、整合性とシステムの可用性です。
    (CVE-2020-14365)

  - k8sモジュールを使用してkubernetesを管理する際、セキュリティの欠陥はAnsible Engine、2.7.17より前のAnsible 2.7.xバージョン、2.8.11より前のAnsible 2.8.xバージョン、および2.9.7より前のAnsible 2.9.xバージョンで、セキュリティの欠陥が見つかりました。パスワードやトークンなどの機密パラメーターが、環境変数や入力設定ファイルを使用せずに、コマンドラインからkubectlに渡されます。これにより、プロセスリストからパスワードとトークンが漏洩し、デバッグモジュールからの no_log ディレクティブに影響がなく、これらの機密は stdout およびログファイルで漏洩されます。(CVE-2020-1753)

  - Ansible にテンプレートインジェクションの欠陥が見つかりました。ユーザーのコントローラーの内部テンプレート操作により、テンプレートデータから安全でない指定が削除される可能性があります。この問題により、攻撃者が特別に細工されたファイルを使用して、テンプレートデータを提供するときにテンプレートインジェクションを導入する可能性があります。(CVE-2023-5764)

  - ユーザーがサインアップして検証した後にメールを変更すると、プロファイル設定で検証なしで変更できる可能性があります。設定オプション verify_email_enabled は、サインアップ時にのみメールを検証します。(CVE-2023-6152)

  - 一部のシナリオで ANSIBLE_NO_LOG 設定を順守しないため、ansible-core に情報漏洩の欠陥が見つかりました。ループアイテムなどの特定のタスクの出力に、情報がまだ含まれています。タスクによっては、この問題には、複合化された秘密の値などの機密情報が含まれる場合があります。(CVE-2024-0690)

  - スナップショットの所有者とは異なる組織のユーザーが、ビューキーを使用して /api/snapshots/<key> に DELETE リクエストを発行することで、承認をバイパスし、スナップショットを削除することが可能です。この機能は、問題のスナップショットへの書き込み/編集のアクセス許可を持つ個人のみが使用できるようになっていますが、承認ロジックのバグにより、スナップショットの所有者とは異なる組織の権限のないユーザーによって発行された削除リクエストは、承認されたものとして扱われます。Grafana Labs は、この脆弱性を発見し公表してくださった Palo Alto Research の Ravid Mazon 氏および Jay Chen 氏に感謝の意を表します。この問題は次の Grafana に影響を与えます。9.5.0 から 9.5.18 まで、10.0.0 から 10.0.13 まで、10.1.0 から 10.1.9 まで、10.2.0 から 10.2.6 まで、10.3.0 から 10.3.5 まで。(CVE-2024-1313)

Nessus はこれらの問題をテストしておらず、代わりにアプリケー代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

このバージョン 2.4.1.0へのansible の更新により、次の脆弱性が修正されます：

  - CVE-2017-7481: jinja2環境を汚染しないlookupの戻り値のセキュリティ問題（bsc#1038785）

  - CVE-2016-9587: ホストからコントローラーへのコマンド実行の脆弱性（bsc#1019021）

  - CVE-2016-8628: 侵害されたサーバーによるファクト変数を介したコマンドインジェクション（bsc#1008037）

  - CVE-2016-8614: apt_keyモジュールのキーフィンガープリントの不適切な検証（bsc#1008038）

  - CVE-2017-7550: jenkins_pluginモジュールがリモートホストlogでパスワードを漏洩する可能性がありました（bsc#1065872）

この更新には、多数のUpstreamのバグ修正と改善も含まれています。

ansible 2.2.1に更新してください。いくつかの他のバグ修正とともに、いくつかのCVEを修正します。 

このリリースのバグ修正の詳細については、https: 完全な変更点についてはhttps://github.com/ansible/ansible/blob/stable-2.2/CHANGELOG.md。

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

リモートホストは、GLSA-201701-77（Ansible：任意のコードのリモート実行）に記載されている脆弱性に影響されています。クライアントシステムから送信されたデータのAnsibleの処理で、入力検証の脆弱性が見つかりました。影響：クライアントシステムを制御する攻撃者は、Ansibleによって管理されているため、事実をAnsibleサーバーに送り返す機能は、Ansibleサーバー権限を使用することでAnsibleサーバー上で任意のコードを実行する可能性があります。回避策：現時点では、既知の回避策はありません。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
97792	RHEL 7：ansible（RHSA-2017:0515）	Nessus	Red Hat Local Security Checks	2017/3/17	2019/10/24	high
97062	RHEL 7：ansible および gdeploy（RHSA-2017：0260）	Nessus	Red Hat Local Security Checks	2017/2/8	2025/3/20	high
112261	RHEL 7：ansible（RHSA-2017:1685）	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
119387	RHEL 7：ansible and openshift-ansible（RHSA-2017:0448）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	high
96472	FreeBSD：Ansible -- ホストからのAnsibleコントローラーでのコマンド実行（a93c3287-d8fd-11e6-be5c-001fbc0f280f）	Nessus	FreeBSD Local Security Checks	2017/1/13	2021/1/4	high
195097	SUSE SLES15 / openSUSE 15 セキュリティ更新 : SUSE Manager Client Tools (SUSE-SU-2024:1509-1)	Nessus	SuSE Local Security Checks	2024/5/7	2024/5/7	critical
104522	openSUSEセキュリティ更新プログラム：ansible（openSUSE-2017-1259）	Nessus	SuSE Local Security Checks	2017/11/13	2021/11/30	critical
96783	Fedora 24：ansible（2017-418398ce60）	Nessus	Fedora Local Security Checks	2017/1/26	2021/1/11	high
96785	Fedora 25：ansible（2017-cb88734094）	Nessus	Fedora Local Security Checks	2017/1/26	2021/1/6	high
96915	GLSA-201701-77：Ansible：リモートの任意のコードの実行	Nessus	Gentoo Local Security Checks	2017/2/1	2021/1/11	high

検出

プラグインの検索

high

high

high

high

high

critical

critical

high

high

high