RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（重要）(RHSA-2025:16487)
high Nessus 插件 ID 265776
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2025:16487 公告中提及的多个漏洞影响。Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。
安全修复：
* 自动化-控制器FilteredRelation 列别名中的 Django SQL 注入 (CVE-2025-57833)
* Automation-controllerDjango 路径注入漏洞 (CVE-2025-48432)
* python3.11-djangoFilteredRelation 列别名中的 Django SQL 注入 (CVE-2025-57833)
有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。
包含的更新和补丁：
Automation Platform
* 提高了网关控制平面授权性能以减少或消除不定期发生的请求错误 (503、504、403) (AAP-53468)
* 修复了以下缺陷当访问用户是审计员而非管理员时网关未为 UI 生成必要的元数据以呈现设置 > 平台网关 (AAP-53279)
* 如果 GRPC 服务器无法连接到数据库它现在会向 envoy 返回 503 而不是 403 (AAP-51931)
* 变更了设置 ALLOW_OAUTH2_FOR_EXTERNAL_USERS 的帮助文本 (AAP-51886)
* 修复了传递无效安全设置时SAML 认证程序中格式不正确的错误消息。
此错误现在将正确显示无效字段并将指出有效字段值是什么 (AAP-51705)
* 改进了认证程序映射处理、推理和结果的调试日志记录 (AAP-51639)
* 修复了认证器映射未正确评估“处于”条件中的属性的问题 (AAP-51638)
* 当使用 SAML 身份验证登录时将从配置的属性中正确读取用户的群组而不是预期始终在群组属性中的群组 (AAP-51503)
* 向多选对话框添加滚动以使分页对用户可见 (AAP-52209)
* 修复了在启用“限制”具有“启动时提示”时不允许用户保存工作流计划计划的问题 (AAP-49794)
* 已将 automation-gateway 更新为 2.5.20250924
* 已将 python3.11-django-ansible-base 更新为 2.5.20250924
自动化控制器
* 现在可在不指定组织的情况下创建和编辑 Galalive 凭据 (AAP-52197)
* 修复了 Django 中的路径注入漏洞以便内部 HTTP 响应日志记录转义 request.path 且远程攻击者无法通过构建的 URL 操纵日志输出 (AAP-51443)
* 当提供正确的环境变量时导出命令可通过控制器集合工作或与 awxkit 一起工作 (AAP-49452)
* 修复了 api/v2/jobs/{id}/stdout/?format=txt 中的双转义引号 (AAP-49077)
* 集合中的导出模块现在遵从 CONTROLLER_OPTIONAL_API_URLPATTERN_PREFIX 环境变量修复了在使用平台网关的部署中导出不起作用的缺陷 (AAP-39265)
* automation-controller 已更新到 4.6.20
自动化中心
* 添加了 GALAXY_API_SPEC_REQUIRE_AUTHENTICATION 设置默认为 false该设置将访问 OpenAPI 规范的权限限制为只有经身份验证的用户 (AAP-53578)
* automation-hub 已更新到 4.10.8
* python3.11-galaxy-ng 已更新到 4.10.8
基于容器的 Ansible Automation Platform
* 在主机上禁用 IPv6 时禁用 PostgreSQL 和 Redis 服务上的 IPv6 绑定 (AAP-53546)
* 修复了控制器资源密钥值的还原和迁移 (AAP-53535)
* 将 ansible 集合上传到 Private Automation Hub 不再受到 API 分页的限制 (AAP-53526)
* 在还原期间执行 create_initial_data EDA 命令 (AAP-53382)
* 修复使用引号的 Private Automation Hub 任务名称的问题 (AAP-53307)
* 修复在预检期间检查 postgres 连接和版本时 custom_ca_cert 的路径问题 (AAP-53213)
* 修复禁用 TLS 时的 PostgreSQL 配置目录创建 (AAP-52569)
* X-Forwarded-For 和 Real-Ip 标头现已添加到 Nginx 日志 (AAP-52562)
* 容器化安装程序设置已更新为 2.5-19
基于 RPM 的 Ansible Automation Platform
* 修复同时定义 redis_mode= standalone 和 Redis 群组的问题 (AAP-53560)
* 修复了 EDA 还原的一个问题即未针对事件流更新数据库凭据 (AAP-53529)
* 修复了无法在不属于 redis 群组的 EDA/网关节点上创建 redis 节点列表的问题 (AAP-53528)
* 修复当部署拥有超过 1 个未定义 eda_node_type 的 EDA 节点时备份失败的问题 (AAP-52892)
* 删除了 pulpcore-manager sudo 要求 (AAP-52288)
* 已修复任务“从控制器中清理实例”中的拼写错误 (AAP-52078)
* 现在可配置网关 uwsgi 进程计数 (AAP-50390)
* 等待 Hub 工作线程上线 (AAP-46261)
* ansible-automation-platform-installer 和安装程序设置已更新为 2.5-18
其他变更
* aap-metrics-utility 已更新到 0.6.0
* ansible-creator 已更新到 25.8.0
* ansible-dev-environment 已更新到 25.8.0
* ansible-dev-tools 已更新到 25.8.3
* ansible-lint 已更新到 25.8.2
* ansible-navigator 已更新到 25.8.0
* ansible-sign 已更新到 0.1.2
* RHEL9 的自动化网关代理已更新到 2.6.6-3
* molecule 已更新到 25.7.0
* python3.11-ansible-compat 已更新到 25.8.1
* 已将 python3.11-django 更新至 4.2.24
* python3.11-galaxy-importer 已更新到 0.4.33
* python3.11-pytest-ansible 已更新到 25.8.0
* python3.11-pytest-plus 已更新到 0.8.1
* python3.11-pytest-sugar 已更新到 1.1.1
* python3.11-ruamel-yaml 已更新到 0.18.15
* python3.11-termcolor 已更新到 3.1.0
* python3.11-tox-ansible 已更新到 25.8.0
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的 Automation-controller-venv-tower 和/或 python3.11-django 程序包。另见
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2370365
https://bugzilla.redhat.com/show_bug.cgi?id=2392990
插件详情
严重性: High
ID: 265776
文件名: redhat-RHSA-2025-16487.nasl
版本: 1.1
类型: local
代理: unix
发布时间: 2025/9/24
最近更新时间: 2025/9/24
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
风险信息
VPR
风险因素: High
分数: 7.8
Vendor
Vendor Severity: Important
CVSS v2
风险因素: High
基本分数: 7.6
时间分数: 5.6
矢量: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2025-57833
CVSS v3
风险因素: High
基本分数: 7.1
时间分数: 6.2
矢量: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N
时间矢量: CVSS:3.0/E:U/RL:O/RC:C
漏洞信息
CPE: p-cpe:/a:redhat:enterprise_linux:python3.11-django, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
易利用性: No known exploits are available
补丁发布日期: 2025/9/23
漏洞发布日期: 2025/6/5
参考资料信息
CVE: CVE-2025-48432, CVE-2025-57833
RHSA: 2025:16487