RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（重要）(RHSA-2025:9986)
critical Nessus 插件 ID 241026
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2025:9986 公告中提及的多个漏洞影响。Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。
安全修复：
* Automation-eda-controller通过 EDA 项目中的 Git Branch 和 Refspec 进行模板注入 (CVE-2025-49521)
* Automation-eda-controllerEDA 项目创建中 Git URL 中的经身份验证参数注入 (CVE-2025-49520)
* Automation-gateway-proxy由于接受 net/http 中的无效分块数据而导致的请求走私 (CVE-2025-22871)
* Automation-gateway-proxy-openssl30由于接受 net/http 中的无效分块数据而导致请求走私 (CVE-2025-22871)
* Automation-gateway-proxy-openssl32接受 net/http 中的无效分块数据而导致请求走私 (CVE-2025-22871)
*接受器由于接受了 net/http 中的无效分块数据而导致的请求走私 (CVE-2025-22871)
有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。
包含的更新和补丁：
Automation Platform
* 更新了 API 错误消息以便在用户通过旧版认证以管理员用户身份登录然后尝试通过其他组件时执行此操作的情况下提供更多帮助 (AAP-47541)
* 修复 API 记录可能跨页面丢失或重复的问题 (AAP-47504)
* 重构 V1RootView.get() 并改进反向查找逻辑 (AAP-47366)
* 重构了 process_statuses() 方法以降低其认知复杂性 (AAP-47341)
* 提高了 openapi API 文档和方案的准确性 (AAP-46639)
* 将 migrate_service_data.py 中方法 migrate_resource() 的认知复杂性从 56 降低至 <=15 (AAP-45822)
* 降低了 serializers/preference.py 文件中 process_fields() 方法的认知复杂性 (AAP-45820)
* 将 unique_fields_for_model() 方法的认知复杂性降至 15 以下 (AAP-45819)
* 对角色分配 API 端点上的字段 user_ansible_id、team_ansible_id 与 object_ansible_id 启用查询筛选 (AAP-45443)
* 对 Worlflow 可视化工具作业模板或工作流作业模板节点显示调查表单启用了调查但没有“启动时提示”字段 (AAP-47732)
* 修复了在同时启用“启动时提示”和“调查”的情况下启动工作流作业模板时导致 UI 抛出错误的缺陷 (AAP-47668)
* 已删除 UI 中因代码而隐藏对策略引用的 API 功能标记。“所有策略”均始终对所有用户显示为“代码”字段 (AAP-47006)
* 修复了在同时启用“启动时提示”和“调查”的情况下启动工作流作业模板时导致 UI 抛出错误的缺陷 (AAP-46813)
* 在清单来源表单上对于“VMware ESXi”来源类型用户将能够选择“VMware vCenter”类型的凭据 (AAP-46784)
* 修复了在认证器映射表单中为 Atrriibute 触发器选择 'Comparison' 字段时的缺陷 (AAP-46555)
* 修复了在同时启用“启动时提示”和“调查”的情况下启动工作流作业模板时导致 UI 抛出错误的缺陷 (AAP-45834)
* 添加额外验证以处理变量字段中不正确的用户输入因为 API 不会为其返回错误 (AAP-42563)
* 修复了在同时启用“启动时提示”和“调查”的情况下启动工作流作业模板时导致 UI 抛出错误的缺陷 (AAP-42303)
* 对概览页面“资源计数”部分中的主机链接进行修复以重定向至“主机”页面 (AAP-42288)
* 允许使用 Role_user_assignment 模块中的 object_ansible_id 进行角色分配 (AAP-48042)
* 改进与 Role_user_assignment 模块中的 object_id 和 object_ansible_id 参数相关的文档和示例 (AAP-48041)
* 允许 Role_user_assignment 模块中的 object_id 字段接受项目列表 (AAP-47979)
* 修复 ansible.platform.token 模块中的示例任务 (AAP-47976)
* 在 ansible.platform.token 模块中指定正确的 aap_* 参数 (AAP-47975)
* 改进 authenticator 和 authenticator_map 模块的文档和示例 (AAP-45982)
* 以经过测试的任务示例更新 ansible.platform.settings 模块的文档示例 (AAP-45954)
* 在集合 README 中添加了新的部分描述如何从 playbook 向 AAP 进行身份验证 (AAP-45578)
* 确保 ansible.platform 集合中的模块接受 AAP_* 变量进行认证 (AAP-45363)
* 修复 ansible.platform.user 不会将用户添加到组织的问题 (AAP-45248)
* 允许在 check_mode 中运行 ansible.platform 收集模块 (AAP-45246)
* 在 ansible.platform.user 模块中添加缺少的选项以允许为用户设置 is_platform_auditor 标记 (AAP-45244)
* 已将 automation-gateway 更新为 2.5.20250702
* Automation-gateway-proxy 已更新到 2.5.10-2
* Automation-gateway-proxy-openssl30 已更新到 2.6.6-2
* Automation-gateway-proxy-openssl32 已更新到 2.6.6-2
* 已将 python3.11-django-ansible-base 更新为 2.5.20250702
自动化控制器
* 在两个单独的命令中尝试更新主机“last_job_id”和“ansible_facts”时通过“awx_callback_receiver_worker”和“awx_dispatcher_worker”修复了数据库死锁 (AAP-46038)
* 修复了可能在同一组织中创建具有重复名称的作业模板的争用条件 (AAP-45968)
* 修复了升级后未填充某些凭据类型的缺陷。为此添加新的迁移 (AAP-44233)
* 更新了控制器以减少卡在等待状态中的大量排队作业 (AAP-44143)
* 接收器：当 pod 就绪时正确处理 EOF (AAP-46484)
* 接收器删除已取消上下文的连接 (AAP-47996)
* automation-controller 已更新到 4.6.16
* 已将 receptor 更新为 1.5.7
自动化中心
* 任何用户均可使用 ai 关键字搜索和筛选来查找 AI 相关集合 (AAP-43138)
* automation-hub 已更新到 4.10.5
* python3.11-galaxy-importer 已更新到 0.4.31
* python3.11-galaxy-ng 已更新到 4.10.5
* python3.11-pulp-ansible 已更新到 0.25.1
* 已将 python3.11-pulpcore 更新至 3.49.42
事件驱动型 Ansible
* 修复了将 rulebook 中的 Gather_facts 设置为 true 时激活挂起的问题gather_facts 仅在将 ansible-rulebook 作为 CLI 运行时可用 (AAP-47846)
* 修复在 URI 中使用 SHA 摘要的 DE 图像拉取失败 (AAP-47725)
* API REST 现在支持项目 url 的版本 (AAP-47459)
* 在创建或更新项目时增加了对 URL、branch/tag/commit 和 refspec 字段的验证 (AAP-47227)
* 现在会在修改 url/branch/scm_refspec 时自动触发项目重新同步 (AAP-46254)
* 工作线程启动时在日志中发出相关设置和版本 (AAP-40984)
* 已将 ansible-rulebook 更新为 1.1.7
* automation-eda-controller 已更新到 1.1.11
* python3.11-websockets 已更新到 15.0
基于容器的 Ansible Automation Platform
* 修复了 Redis 套接字挂载点权限的问题 (AAP-48230)
* 当提供未经内部 CA 签署的 TLS 证书时修复用于接收器网格配置的 TLS 证书颁发机构 (CA) 证书 (AAP-48065)
* 修复了 log_gathering playbook 中 sos 报告命令缺少的用户参数 (AAP-47718)
* 验证节点是否至少配置有 16G 的 RAM (AAP-47542)
* 修复了重定向页面中的 jquery 版本 (AAP-47074)
* 容器化安装程序设置已更新为 2.5-16
基于 RPM 的 Ansible Automation Platform
* 修复了 redis-platform 在还原时不会重新启动的问题 (AAP-47689)
* 当安装程序以新主机或新主机名运行时旧服务节点现在从网关上删除 (AAP-47651)
* 修复对 AAP 受管的数据库使用非默认端口时还原失败的问题 (AAP-47639)
* 修复使用非默认 umask 时某些页面未正确呈现的问题 (AAP-47377)
* 修复了 EDA 脚本在重新启动时不启动 nginx 的问题 (AAP-46511)
* 与决策环境相关的凭据现在将在还原期间更新为源清单中定义的站点信息 (AAP-46271)
* 接收器证书任务将不再需要切换到接收器用户 (AAP-46189)
* 修复防火墙未打开事件流端口的问题 (AAP-45684)
* ansible-automation-platform-installer 和安装程序设置已更新为 2.5-15
更多变更：
* ansible-creator 已更新到 25.5.0
* ansible-dev-environment 已更新到 25.5.0
* ansible-dev-tools 已更新到 25.5.2
* ansible-lint 已更新到 25.5.0
* ansible-navigator 已更新到 25.5.0
* molecule 已更新到 25.5.0
* python3.11-ansible-compat 已更新到 25.5.0
* 已添加 python3.11-dispatcherd
* python3.11-dynaconf 已更新到 3.2.11
* python3.11-psycopg 已更新到 3.2.7
* python3.11-pytest-ansible 已更新到 25.5.0
* python3.11-tox-ansible 已更新到 25.5.0
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2358493
https://bugzilla.redhat.com/show_bug.cgi?id=2370812
https://bugzilla.redhat.com/show_bug.cgi?id=2370817
https://issues.redhat.com/browse/AAP-42288
插件详情
严重性: Critical
ID: 241026
文件名: redhat-RHSA-2025-9986.nasl
版本: 1.1
类型: local
代理: unix
发布时间: 2025/7/1
最近更新时间: 2025/7/1
支持的传感器: Agentless Assessment, Continuous Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Nessus
风险信息
VPR
风险因素: Medium
分数: 5.9
Vendor
Vendor Severity: Important
CVSS v2
风险因素: High
基本分数: 9.4
时间分数: 7
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:N
CVSS 分数来源: CVE-2025-22871
CVSS v3
风险因素: Critical
基本分数: 9.1
时间分数: 7.9
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:automation-eda-controller-base, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller-worker-services, p-cpe:/a:redhat:enterprise_linux:automation-gateway-proxy-openssl30, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller-base-services, p-cpe:/a:redhat:enterprise_linux:automation-gateway-proxy-openssl32-server, p-cpe:/a:redhat:enterprise_linux:receptor, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller-event-stream-services, p-cpe:/a:redhat:enterprise_linux:automation-gateway-proxy-openssl30-server, cpe:/o:redhat:enterprise_linux:8, p-cpe:/a:redhat:enterprise_linux:automation-gateway-proxy-server, p-cpe:/a:redhat:enterprise_linux:automation-gateway-proxy-openssl32, p-cpe:/a:redhat:enterprise_linux:receptorctl, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:automation-eda-controller, p-cpe:/a:redhat:enterprise_linux:automation-gateway-proxy
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2025/6/30
漏洞发布日期: 2025/4/3