リモートの SUSE Linux SLES15 / openSUSE 15 ホストには、SUSE-SU-2024:4285-1 のアドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    - CVE-2024-53907: django.utils.html.strip_tags() のサービス拒否を修正しました (bsc#1234232)
      - CVE-2024-53908: Oracle の HasKey(lhs, rhs) での SQL インジェクションを修正しました (bsc#1234231)

Tenable は、前述の記述ブロックを SUSE セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2025:0721 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:

    * automation-controller: Jinja には、フォーマットメソッドへの間接参照によるサンドボックスブレイクアウトが存在します (CVE-2024-56326)
    * automation-controller: Jinja には、悪意のあるファイル名によるサンドボックスブレイクアウトが存在します (CVE-2024-56201)
    * automation-controller: Oracle の HasKey(lhs、rhs) での潜在的な SQL インジェクション (CVE-2024-53908)
    * python3-jinja2/python39-jinja2: Jinja には、フォーマットメソッドへの間接参照によるサンドボックスブレイクアウトが存在します (CVE-2024-56326)
    * python3-jinja2/python39-jinja2: Jinja には、悪意のあるファイル名によるサンドボックスブレイクアウトが存在します (CVE-2024-56201)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    オートメーションコントローラーに含まれる更新と修正:
    * host_metric_summary_monthly タスクからのトレースバックによってタイプ比較エラーが発生する問題が修正 (AAP-37486)
    * ソースインベントリの順番が ansible.controller コレクションに反映されなかった問題を修正 (AAP-38511)
    * automation-controller は 4.5.17 に更新されました

    インストーラーとセットアップの更新と修正:
    * 他のコンテキストなしで pg_host= を設定すると、コントローラーの settings.py の HOST セクションが空になる問題を修正しました (AAP-38030)
    * automationhub_pg_port= の場合に Automation Hub バックアップが失敗する問題を修正 (AAP-31261)
    * データベースインストールにカスタムポートを提供すると、postgres のインストールが中断する問題を修正 (AAP-31260)
    * 提供されたログパスに書き込み権限がない場合にセットアップスクリプトが警告し、デフォルトパスに書き込み権限がない場合に失敗します (AAP-18204)
    * インストーラーとセットアップが 2.4-9 に更新されました

    その他の修正
    * python3-jinja2/python39-jinja2 は 3.1.5 に更新されました
    * python3-pulpcore/python39-pulpcore は 3.28.26 に更新されました

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモートの Ubuntu 20.04 LTS/22.04 LTS/24.04 LTS/24.10 ホストには、USN-7136-1 アドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Jiangniao 氏は、Django がタグを削除する API を不適切に処理していることを発見しました。リモートの攻撃者がこの問題を悪用して Django にリソースを消費させ、サービス拒否を引き起こす可能性があります。
    (CVE-2024-53907)

    Seokchan Yoon 氏は、Oracle を使用しているときに Django が HasKey 検索を不適切に処理することを発見しました。リモートの攻撃者がこの問題を悪用して、任意の SQL コードを挿入する可能性があります。この問題の影響を受けるのは、Ubuntu 24.04 LTS と Ubuntu 24.10 のみです。(CVE-2024-53908)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

リモート Redhat Enterprise Linux 8 / 9 ホストに、RHSA-2025:0340 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正プログラム:
    * automation-controller: Oracle の HasKey(lhs、rhs) での潜在的な SQL インジェクション (CVE-2024-53908)
    * automation-controller: django.utils.html.strip_tags() におけるサービス拒否攻撃の可能性 (CVE-2024-53907)
    * automation-controller: gRPC-C++ のデータ破損によるサービス拒否 (CVE-2024-11407)
    * Automation-gateway: nanoid が非整数値を不適切に処理する (CVE-2024-55565)
    * python3.11-aiohttp: aiohttp は、チャンク拡張の解析が正しく行われないため、リクエストスマグリングに対して脆弱 (CVE-2024-52304)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    更新と修正に含まれる内容:

    Platform
    * フォームウィザードを操作する際に時折発生する「not found」エラーを修正 (AAP-37495)
    * ソーシャル認証パイプラインのユーザー名フィールドを決定するために、ID_KEY 属性が不適切に使用される問題を修正 (AAP-38300)
    * X-DAB-JW-TOKEN ヘッダーメッセージがログを溢れさせる問題を修正 (AAP-38169)
    * オーセンティケーターがユーザー ID を作成し、有効でない authenticator_uid を返す可能性がある問題を修正しました (AAP-38021)
    * ステータス API、/api/gateway/v1/status/ を JSON 内のサービスプロパティから配列に拡張 (AAP-37903)
    * OpenAPI スキーマファイルをダウンロードするときに秘密鍵がプレーンテキストで表示される問題を修正します。
    注意: これはゲートウェイが使用する秘密鍵ではなく、ランダムな既定です (AAP-37843)

    オートメーションコントローラー
    * 外部に送信するロガーの選択肢として「job_lifecycle」を追加し、ジョブに関連するログに「organization_id」フィールドを追加 (AAP-37537)
    *「host_metric_summary_monthly」タスクからのトレースバックの日付比較の不一致を修正 (AAP-37487)
    * カウントがゼロでない値に設定されたスケジュールされたジョブが予期せず実行されないように修正 (AAP-37290)
    * ゲートウェイ経由の「/api/controller/login/」に対する POST 操作が致命的なエラーにならないように修正 (AAP-37235)
    * プロジェクトの「requirements.yml」の動作を修正することで、クラスターで以前の状態に戻らないように修正 (AAP-37228)
    * 多数のジョブがすばやく起動される場合、ジョブを開始する前にイベントパーティションテーブルを作成する際に時折発生するエラーを修正しました (AAP-37227)
    * ジョブテンプレートの起動中に名前付き URL が 404 エラーコードを返さないように修正 (AAP-37025)
    * ノードでジョブが完了した後に一時的なレセプターファイルをクリーンアップするよう、レセプターを更新 (AAP-36904)
    * ゲートウェイ経由の「/api/controller/login/」に対する POST 操作を修正し、もはや致命的なエラーを引き起こさないようにしました (AAP-33911)
    * automation-controller は 4.6.6 に更新されました

    コンテナベースの Ansible Automation Platform
    * 増加インベントリ用の提供されたインベントリファイルサンプルにより、低リソースシステムでインストールが停止する可能性がある問題を修正 (AAP-38372)
    * 成長トポロジのインストールでコントローラーのスロットル容量によってパフォーマンスが低下する問題を修正 (AAP-38207)
    * プリフライト ロール実行中にレセプター TLS 証明書の内容が検証されず、x509 サブジェクト代替名 (SAN) フィールドに必要な ISO オブジェクト識別子 (OID) が含まれていることが確認されない問題を修正 (AAP-37880)
    * TLS 証明書とキーファイルが preflight ロール実行中に検証されるように変更 (AAP-37845)
    * Postgresql SSL モード変数が preflight ロールの実行中に検証されない問題を修正 (AAP-37352)
    * コンテナ化されたインストーラーのセットアップが 2.5-8 に更新されました

    RPM ベースの Ansible Automation Platform
    * アップグレードされた環境に新しいオートメーションハブホストを追加するとインストールが失敗する問題を修正 (AAP-38204)
    * インストーラーの README.md 内のドキュメントへのリンクが破損していた問題を修正 (AAP-37627)
    * Event-Driven Ansible イベントストリームサービスの API ステータスを適切に返すように nginx 設定を更新 (AAP-32816)
    * ansible-automation-platform-installer およびインストーラーのセットアップが 2.5-7 に更新されました

    追加の変更:
    * ansible-core をインストールしても、python3-jmespath が RHEL 8 にインストールされなくなる (AAP-18251)
    * ansible-core は 2.16.14-2 に更新されました
    * automation-gateway が 2.5.20250115 に更新されました
    * python3.11-aiohttp は、その依存関係とともに 3.10.11 に更新されました
    * python3.11-django-ansible-base は 2.5.20250115 に更新されました
    * python3.11-galaxy-importer は 0.4.27 に更新されました 
    * python3.11-pulpcore は 3.49.29 に更新されました

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - Django 5.1.4以前の、5.15.0.10以前の、5.04.2.17以前の 4.2に問題が発見されました。信頼できないデータがlhs値として使用されている場合、Oracleデータベースが使用されているときにdjango.db.models.fields.json.HasKey検索を直接使用すると、SQLインジェクションの影響を受けます。（__ を介して jsonfield.has_key 検索を使用するアプリケーションは影響を受けません。）（CVE-2024-53908）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
212730	SUSE SLES15 / openSUSE 15 セキュリティ更新 : python-Django (SUSE-SU-2024:4285-1)	Nessus	SuSE Local Security Checks	2024/12/13	2025/1/17	critical
214710	RHEL 8/9: Red Hat Ansible Automation Platform 2.4 製品セキュリティおよびバグ修正プログラムの更新 (重要度高) (RHSA-2025:0721)	Nessus	Red Hat Local Security Checks	2025/1/28	2025/6/5	critical
212064	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10 : Django の脆弱性 (USN-7136-1)	Nessus	Ubuntu Local Security Checks	2024/12/4	2025/1/17	critical
214232	RHEL 8/9: Red Hat Ansible Automation Platform 2.5 製品セキュリティおよびバグ修正プログラムの更新 (重要度高) (RHSA-2025:0340)	Nessus	Red Hat Local Security Checks	2025/1/15	2025/8/18	medium
231424	Linux Distros のパッチ未適用の脆弱性: CVE-2024-53908	Nessus	Misc.	2025/3/6	2025/8/27	critical

検出

プラグインの検索

critical

critical

critical

medium

critical