RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（中危）(RHSA-2024:11145)
medium Nessus 插件 ID 213128
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2024:11145 公告中提及的多个漏洞影响。Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。
安全修复：
* ansible-core：通过 Ansible-Core 中的 hostvars 对象造成不安全的标记绕过漏洞 (CVE-2024-11079)
* automation-gateway：AAP 的 OAuth2 标记中的范围处理不当漏洞 2.5 (CVE-2024-11483)
有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、知晓，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。
包含的更新和补丁：
Automation Platform UI
* 添加了对按标签过滤作业模板、作业和清单的支持 (AAP-36540)
* 修复了在删除创建模板的用户后无法打开作业模板的问题 (AAP-35820)
* 修复了清单源更新失败且不允许选择清单文件的问题 (AAP-35246)
* 修复了登录重定向替代设置缺失且未正常工作的问题 (AAP-33295)
* 已禁用机密凭据字段的自动完成功能 (AAP-33188)
* 已修复的问题：用户在定义计划时能够选择需要密码的凭据 (AAP-32821)
* 修复了已创建的团队角色页面的 Team -> roles -> eda 导航，在添加新团队角色后该导航不起作用。(AAP-31873)
* 配置 Ansible Remote 以从其他服务器同步集合时，仅当从 Galaxy 同步时要求求文件为必要项，其他均为可选。在没有要求文件的情况下，所有集合完成同步 (AAP-31238)
* 已修复的问题：除非切换选项卡，否则不会显示作业输出 (AAP-31125)
* 已修复的问题：当选择 4 个以上权限时，所选角色权限的批量删除选项会消失 (AAP-28030)
事件驱动型 Ansible
* 已修复的问题：空或非结构化 git 存储库的项目同步不会失败 (AAP-35777)
* 修复了集合中的一个问题：如果找不到 rulebook、项目、决策环境或组织，激活模块会出现故障并显示误导性的错误消息 (AAP-35360)
* 已修复的问题：当 rulebook 具有重复的规则名称时，rulebook 验证导入/同步会失败 (AAP-35164)
* 添加了有关指定为容器注册表凭据一部分的主机是否符合容器注册表标准的验证 (AAP-34969)
* 已修复的问题：事件驱动型 Ansible API 允许更改凭据类型 (AAP-34968)
* 已修复的问题：重新同步之后可能会意外将先前失败的项目更改为已完成的项目 (AAP-34744)
* 已修复的问题：如果项目不含任何 rulebook，则不记录任何消息 (AAP-34555)
* 已修复的问题：可以将多个 Red Hat Ansible Automation Platform 凭据附加到激活 (AAP-34025)
* 已修复的问题：EDA_EVENT_STREAM_BASE_URL 设置更改后，事件流的 url 字段未更新 (AAP-33819)
* 扩展了 log_level 和调试设置的范围 (AAP-33669)
* 已修复的问题：对于名为 Default 的组织存在错误依赖关系 (AAP-33551)
* 项目现在可与事件驱动型 Ansible 集合模块同步 (AAP-32264)
* 已修复的问题：有时尚未准备好接收事件，就会报告激活正在运行 (AAP-31225)
* 已修复的问题：“已启用”选项在 Rulebook Activation Details 页面上有自己的滚动条 (AAP-31130)
* 向 aap-eda-manage 添加了“purge_log_records”以清理过时的数据库记录 (AAP-30684)
* 已修复的问题：重新启动后，激活状态偶尔与最新实例的状态不一致 (AAP-29755)
* 已修复的问题：用户在创建事件驱动型 Ansible 自定义凭据时，无法编辑自动生成的注入器 vars (AAP-29752)
* 已修复的问题：从不存在的分支导入项目会导致程序处于“已完成”状态而非“失败”状态 (AAP-29144)
* 已修复的问题：在某些情况下，事件驱动型 Ansible 集合中的 file_watch 源插件会引发 QueueFull 异常 (AAP-29139)
* 在 Rulebook 激活创建表单中，现在必须先选择项目，然后才能选择 Rulebook (AAP-28082)
* 无论是否存在凭据，“创建凭据”按钮现在都可见 (AAP-23707)
* 已将 automation-eda-controller 更新为 1.1.3
* 已将 ansible-rulebook 更新为 1.1.2
基于容器的 Ansible Automation Platform
* 已修复的问题：允许自动化控制器节点替代 receptor_peers 变量 (AAP-37085)
* 已修复的问题：容器化安装程序会忽略自动化控制器主机的 receptor_type，并始终将其安装为混合应用程序 (AAP-37012)
* 已修复的问题：任务容器中不存在 Podman 并且清理图像任务会失败 (AAP-37011)
* 已修复的问题：在 preflight 角色执行期间，receptor_type 和 receptor_protocol 变量验证检查会被跳过 (AAP-36857)
* 已修复的问题：仅一个自动化控制器节点配置了 Execution/Hop 节点对等机，而非所有自动化控制器节点均配置 (AAP-36851)
* 已修复的问题：自动化控制器服务失去与数据库的连接后，容器会停止且不会自动启动 (AAP-36850)
* 容器化安装程序设置已更新为 2.5-7
更多变更：
* 向 AAP API 网关和 django-ansible-base 中所有缺少的字段添加了帮助文本 (AAP-37068)
* 为 help_text 使用统一格式的语句结构，并为表述模糊的帮助文本提供更多上下文 (AAP-37016)
* 修复了缺少迁移的问题 (AAP-37015)
* 已修复的问题：即使将 LOCATION 设置为其他路径，django-ansible-base 回退缓存仍会继续创建 tmp 文件 (AAP-36869)
* 已修复的问题：OIDC 身份验证器不允许使用 JSON 密钥提取用户组，或不允许通过新的 GROUPS_CLAIM 配置设置修改用户 (AAP-36716)
* 修复了网关 oauth 标记未进行静态加密的问题 (AAP-36715)
* 在网关中的 http_ports 周围添加了更多用户输入验证 (AAP-36714)
* 已修复的问题：网关未正确解释映射的 SAML 属性 (AAP-36713)
* 为 djanbo-ansible-base 库中的 timegate X_TRUSTED_PROXY_HEADER 验证添加了 'trusted_header_timeout_in_ns' 设置 (AAP-36712)
* 添加了自动化分析使用情况的动态首选项 (AAP-36710)
* 添加了“enabled”标记以打开或关闭身份验证器映射 (AAP-36709)
* 允许在 SAML 身份验证器配置中使用非自签名的 certificate+key 对 (AAP-36707)
* 若已登录，则使登录页面重定向至 /api/gateway/v1 (AAP-36638)
* 已将 aap-metrics-utility 更新为 0.4.1 (AAP-36393)
* ansible-core 已更新到 2.16.14
* 已将 automation-gateway 更新为 2.5.20241218
* 已将 python3.11-django-ansible-base 更新为 2.5.20241218
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 ansible-core 和/或 automation-gateway-server 程序包。另见
https://access.redhat.com/security/updates/classification/#moderate
https://bugzilla.redhat.com/show_bug.cgi?id=2325171
https://bugzilla.redhat.com/show_bug.cgi?id=2327579
插件详情
严重性: Medium
ID: 213128
文件名: redhat-RHSA-2024-11145.nasl
版本: 1.1
类型: local
代理: unix
发布时间: 2024/12/18
最近更新时间: 2024/12/18
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.0
Vendor
Vendor Severity: Moderate
CVSS v2
风险因素: Medium
基本分数: 4.6
时间分数: 3.4
矢量: CVSS2#AV:N/AC:H/Au:S/C:P/I:P/A:P
CVSS 分数来源: CVE-2024-11079
CVSS v3
风险因素: Medium
基本分数: 5.5
时间分数: 4.8
矢量: CVSS:3.0/AV:N/AC:H/PR:L/UI:R/S:C/C:L/I:L/A:L
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:ansible-core, p-cpe:/a:redhat:enterprise_linux:automation-gateway-server, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2024/12/16
漏洞发布日期: 2024/11/11
参考资料信息
CVE: CVE-2024-11079, CVE-2024-11483
RHSA: 2024:11145