Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.3.16 より前の nanoid(Nano ID)および 5.1.16 は、その非セキュアモジュール(nanoid/non-secure)の customAlphabet および nanoid 関数に無限ループを含んでいます。これらの関数に負のサイズが与えられると、ループカウンタは負の値から減らされ、終了状態に達することはなく、無期限に回転し、呼び出しスレッドをハングアップします。検証されていない、攻撃者が制御する負のサイズをこれらの関数に渡すアプリケーションは、サービス拒否状態にさらされます。(CVE-2026-67214)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

リモート Redhat Enterprise Linux 10 / 9 ホストに、RHSA-2026:71113 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Ansible Automation Platform は、IT 自動化を大規模に構築、デプロイ、管理するためのエンタープライズフレームワークを提供します。IT マネージャーは、自動化を個々のチームに適用する方法に関するトップダウンのガイドラインを提供する一方、自動化開発者は、オーバーヘッドなしに既存の知識を活用するタスクを自由に記述できます。Ansible Automation Platform を使用すると、組織全体のユーザーは、シンプルで強力なエージェントレスの言語を使用して、自動化コンテンツを共有、精査、管理できます。

    セキュリティ修正:

    * automation-controller:GitPython:Git ディレクトリのなりすましによるリモートコードの実行(CVE-2026-87817)
    * automation-controller:認証されていないBitbucket Webhook Oracleによるジョブテンプレートの列挙(CVE-2026-84717)
    * automation-controller:SystemJob extra_varsによるコマンド引数インジェクション(CVE-2026-84724)
    * automation-controller:ワークフロージョブノードのアーティファクト検索によるマスクされた認証情報データの漏えい(CVE-2026-84720)
    * automation-controller:ワークフロージョブテンプレートコピーによるインスタンスグループの権限昇格(CVE-2026-84719)
    * automation-controller:無制限の X-Forwarded-For 信頼を介した監査ログの改ざん(CVE-2026-84718)
    * automation-controller:インストールバンドルを介した任意のホスト名に対するメッシュ証明書発行(CVE-2026-84716)
    * automation-controller:sanitize_jinja正規表現バイパスによるテンプレートインジェクション(CVE-2026-84714)
    * automation-controller:認証されていないpingエンドポイントを介したオートメーションメッシュトポロジー漏えい(CVE-2026-84712)
    * automation-controller:Project scm_branch git 引数インジェクションによる任意のファイルの読み取り(CVE-2026-84711)
    * automation-controller:認証情報タイプインジェクターによるサービス拒否 Jinja レンダリング(CVE-2026-84709)
    * automation-controller:コンテナグループポッド仕様のオーバーライドによるコントロールプレーンの秘密の漏えい(CVE-2026-84708)
    * automation-controller:ホストフィルタークエリトラバーサルを介した不正なジョブ出力漏えい(CVE-2026-84707)
    * automation-controller:認証情報タイプ環境インジェクターのブロックリストバイパスを介したコード実行(CVE-2026-84706)
    * automation-controller:実行環境バインディングを介したテナント間の認証情報漏えい(CVE-2026-84703)
    * automation-controller:ワークフロージョブテンプレートノードパッチによるクロステナント実行権限のバイパス(CVE-2026-84692)
    * automation-controller:書式文字列インジェクションによる秘密鍵とデータベース認証情報の漏洩(CVE-2026-84691)
    * automation-controller:バルクジョブ起動ノード参照によるクロステナントジョブハイジャック(CVE-2026-84689)
    * automation-controller:通知テンプレートタイプスイッチリプレイによる認証情報トークンの漏えい(CVE-2026-84686)
    * automation-controller:構築済みインベントリ添付ファイルによる権限昇格(CVE-2026-84684)
    * automation-controller:ジョブ出力内の ANSI ハイパーリンクシーケンスを介した蓄積型クロスサイトスクリプティング(CVE-2026-84683)
    * automation-controller:organization Galaxy credential attachment(CVE-2026-84680)による認証情報使用の権限昇格
    * automation-controller:AWX_TASK_ENV設定による任意の環境変数のインジェクション(CVE-2026-84679)
    * automation-controller:Thycotic Secret Server 認証情報テストによるサーバー側のリクエスト偽造(CVE-2026-84644)
    * automation-controller:プロジェクト署名検証バインディングを介した組織をまたがった認証情報の漏えい(CVE-2026-84643)
    * automation-controller:スケジュールおよびワークフローノードの添付によるインスタンスグループの権限昇格(CVE-2026-84638)
    * automation-controller:プロジェクトscm_url git引数インジェクションによるリモートコード実行(CVE-2026-84502)
    * automation-controller:検証エラーメッセージによるアンケートパスワードの漏洩(CVE-2026-84499)
    * automation-controller:認証されていないスケジューラトリガーエンドポイントの漏えい(回帰)(CVE-2026-84486)
    * automation-controller:provisioning-callbackのhost-matchバイパスによる権限昇格(CVE-2026-84474)
    * automation-controller:一括ジョブ起動権限チェックによるインスタンスグループの権限昇格(CVE-2026-84470)
    * automation-controller:GitPython:TagReference.create() を通じた任意のファイルの読み取り(CVE-2026-78679)
    * automation-controller:awx:コンテナグループでのpod_spec_overrideインジェクションによるOpenShift名前空間への権限昇格(CVE-2026-75884)
    * automation-controller:アドホックコマンド制限フィールドからのコマンドライン引数の注入(CVE-2026-71465)
    * automation-controller:スケジュールscm_branchプロンプトを介したGit引数インジェクションガードのバイパス(CVE-2026-71464)
    * automation-controller:通知テンプレートJinjaホワイトリストバイパスによるスタックトレースの漏えい(CVE-2026-71463)
    * automation-controller:CUSTOM_VENV_PATHS検証によるファイルシステムパスの存在オラクル(CVE-2026-71462)
    * automation-controller:RBACチェックがないことによるクロステナントジョブイベントデータの漏えい(CVE-2026-71459)
    * automation-controller:Named-URL 404応答オラクルを介したクロステナントリソース列挙(CVE-2026-71458)
    * automation-controller:無制限サブスクリプションとライセンスの情報漏えい(CVE-2026-71460)
    * automation-controller:GitPython:Git オプションプレフィックスの省略によるコマンドインジェクション(CVE-2026-67325)
    * automation-controller:GitPython:無防備なGitオプションによるコマンドインジェクションによる任意のコード実行(CVE-2026-67323)
    * automation-controller:GitPython:攻撃者が制御するクローン URL による環境変数の抜き取り(CVE-2026-67322)
    * automation-controller:HashiCorp Vault 認証情報 SSRF を介したサービスアカウントトークンのKubernetes漏洩(CVE-2026-12564)
    * automation-gateway-proxy:Golang MIME:悪意を持って細工された MIME ヘッダーによるサービス拒否(CVE-2026-42504)
    * automation-gateway-proxy:golang net/url:パス解決の二次複雑性によるサービス拒否(CVE-2026-56860)
    * automation-gateway-proxy:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * automation-gateway-proxy:Golang crypto/tls:無限の KeyUpdate メッセージによるサービス拒否(CVE-2026-56862)
    * automation-gateway-proxy:Go html/template:異常な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * automation-platform-ui:js-yaml:YAML 解析におけるサービス拒否の脆弱性(CVE-2026-84375)
    * automation-platform-ui:DOMPurify:IN_PLACEサニタイズによるクロスサイトスクリプティング(CVE-2026-75838)
    * automation-platform-ui:nanoid:セキュアでないモジュール関数での負のサイズの入力によるサービス拒否(CVE-2026-67214)
    * automation-platform-ui:nanoid:整数オーバーフローによる予測可能な ID 生成(CVE-2026-73086)
    * automation-platform-ui:PostCSS:細工された sourceMappingURL による情報漏洩(CVE-2026-69153)
    * automation-platform-ui:js-yaml:細工された YAML ドキュメントによるサービス拒否(CVE-2026-59869)
    * python-sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * python-sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python-sqlparse:コメントグループ化での二次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * python3.12-gitpython:Git ディレクトリのなりすましによるリモートコードの実行(CVE-2026-87817)
    * python3.12-sqlparse:SQL 解析における二次 CPU 消費によるサービス拒否(CVE-2026-54284)
    * python3.12-sqlparse:非効率的な SQL 解析によるサービス拒否(CVE-2026-59893)
    * python3.12-sqlparse:コメントグループ化での二次 CPU 消費によるサービス拒否(CVE-2026-71491)
    * receptor:Golang crypto/tls:無限のKeyUpdateメッセージによるサービス拒否(CVE-2026-56862)
    * receptor:Go:XML デコーディング再帰深度問題によるサービス拒否(CVE-2026-56859)
    * receptor:golang net/url:パス解決の二次複雑性によるサービス拒否(CVE-2026-56860)
    * receptor:Go encoding/asn1:Unmarshal の過剰な再帰によるサービス拒否(CVE-2026-33818)
    * receptor:Go html/template:病的な入力によるクロスサイトスクリプティング(CVE-2026-56858)
    * receptor:Go net/http:暗号化されていない HTTP/2 接続にサービス拒否の脆弱性(CVE-2026-56853)

    影響、CVSS スコア、謝辞、その他の関連情報を含むセキュリティ問題の詳細については、「参照」セクションに記載されている CVE のページを参照してください。

    このリリースの詳細については、「参照」セクションに記載されているリリースノートを参照してください。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
330741	Linux Distros のパッチ未適用の脆弱性: CVE-2026-67214	Nessus	Misc.	2026/7/29	2026/10/1	high
349536	RHEL 10/9:Red Hat Ansible Automation Platform 2.6 製品のセキュリティとバグ修正の更新プログラム(重要度最高)(RHSA-2026:71113)	Nessus	Red Hat Local Security Checks	2026/9/23	2026/9/25	high

検出

プラグインの検索

high

high