远程 Redhat Enterprise Linux 8 / 9 主机上安装的多个程序包受到 RHSA-2024:1057 公告中提及的多个漏洞影响。

  - pygments：pygments 中的 ReDoS (CVE-2022-40896)

  - python-pillow：当 ImageDraw 实例中的 textlength 在长文本参数上运行时，不受控制的资源消耗 (CVE-2023-44271)

  - python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

  - aiohttp：HTTP 请求修改 (CVE-2023-49081)

  - aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)

  - pycryptodome：PyCryptodome 和 pycryptodomex 中 OAEP 解密的边信道泄漏 (CVE-2023-52323)

  - ansible automation platform：与 EDA 服务器交互时使用了不安全的 websocket (CVE-2024-1657)

  - jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

  - Django：“intcomma”模板过滤器中的拒绝服务 (CVE-2024-24680)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

RHEL 8 / 9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（重要）(RHSA-2024:1057)

high Nessus 插件 ID 191748

版本 1.5