RHEL 10 / 9：Red Hat Ansible Automation Platform 2.6 产品安全和错误修复更新（重要）(RHSA-2026:59136)
critical Nessus 插件 ID 339179
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 10 / 9 主机上安装的程序包受到 RHSA-2026:59136 公告中提及的多个漏洞影响。Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。
安全修复：
* automation-controller：通知后端允许 SSRF 和凭据泄漏 （CVE-2026-71366）
* automation-controller：webhook 状态回调 SSRF 泄露 Git PAT （CVE-2026-71365）
* automation-controller：项目存档提取允许路径遍历文件写入 （CVE-2026-71364）
* automation-controller：AIOHTTP：通过 WebSocket 升级的 HTTP 请求走私 （CVE-2026-69243）
* automation-controller：AIOHTTP：通过畸形 HTTP 响应造成拒绝服务 （CVE-2026-69244）
* automation-controller：pyasn1：通过构建的 ASN.1 REAL 值 （CVE-2026-59886） 造成拒绝服务
* automation-controller：通过 YAML ！include 指令 （CVE-2026-52902） 实现路径遍历
* automation-controller：AIOHTTP：通过对 CookieJar.load（） （）CVE-2026-34993 的不受信任输入执行任意代码
* automation-controller：daphne：通过过大的 WebSocket 消息大小造成拒绝服务 （CVE-2026-44545）
* automation-controller：JWCrypto：通过构建的压缩 JWE 标记 （CVE-2026-39373） 造成的内存耗尽
* automation-platform-ui：form-data：通过 CRLF 注入 （CVE-2026-12143） 实现表单字段替代
* automation-platform-ui：通过未审核的 prefix/postfix 进行路径遍历，启用目录转义 （CVE-2026-44705）
* python-django：通过 GeoDjango 空间查找 （CVE-2026-15307） 进行的远程代码执行
* python3.12-aiohttp：通过 WebSocket 升级的 HTTP 请求走私 （CVE-2026-69243）
* python3.12-aiohttp：通过畸形 HTTP 响应造成拒绝服务 （CVE-2026-69244）
* python3.12-django：通过 GeoDjango 空间查找 （CVE-2026-15307） 进行的远程代码执行
* python3.12-gitpython：通过 Git 选项前缀缩写 （CVE-2026-67325） 进行命令注入
* python3.12-gitpython：通过加入的短选项绕过 （CVE-2026-67324） 执行任意代码
* python3.12-gitpython：通过不受保护的 Git 选项造成的命令注入执行任意代码 （CVE-2026-67323）
* python3.12-gitpython：通过攻击者控制的克隆 URL （CVE-2026-67322） 泄露环境变量
* python3.12-gitpython：通过不安全的 git 选项转发 （CVE-2026-73620） 进行任意文件覆盖和读取
有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。
有关此版本的详细信息，请参阅链接到“参考”部分列举的版本说明。
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
https://access.redhat.com/errata/RHSA-2026:59136
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2456187
https://bugzilla.redhat.com/show_bug.cgi?id=2484099
https://bugzilla.redhat.com/show_bug.cgi?id=2484377
https://bugzilla.redhat.com/show_bug.cgi?id=2486729
https://bugzilla.redhat.com/show_bug.cgi?id=2487946
https://bugzilla.redhat.com/show_bug.cgi?id=2488480
https://bugzilla.redhat.com/show_bug.cgi?id=2500041
https://bugzilla.redhat.com/show_bug.cgi?id=2509975
https://bugzilla.redhat.com/show_bug.cgi?id=2509976
https://bugzilla.redhat.com/show_bug.cgi?id=2510021
https://bugzilla.redhat.com/show_bug.cgi?id=2510032
https://bugzilla.redhat.com/show_bug.cgi?id=2510825
https://bugzilla.redhat.com/show_bug.cgi?id=2510831
https://bugzilla.redhat.com/show_bug.cgi?id=2511095
https://bugzilla.redhat.com/show_bug.cgi?id=2511900
https://bugzilla.redhat.com/show_bug.cgi?id=2511901
https://bugzilla.redhat.com/show_bug.cgi?id=2511902
https://bugzilla.redhat.com/show_bug.cgi?id=2515261
http://www.nessus.org/u?0367a056
插件详情
严重性: Critical
ID: 339179
文件名: redhat-RHSA-2026-59136.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/8/25
最近更新时间: 2026/8/25
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 6.9
百分位: 96.81
Vendor
Vendor Severity: Important
CVSS v2
风险因素: High
基本分数: 8.5
时间分数: 6.7
矢量: CVSS2#AV:N/AC:L/Au:N/C:N/I:C/A:P
CVSS 分数来源: CVE-2026-44705
CVSS v3
风险因素: High
基本分数: 8.2
时间分数: 7.4
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:L
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
风险因素: Critical
Base Score: 9.3
Threat Score: 8.9
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-67324
漏洞信息
CPE: cpe:/o:redhat:enterprise_linux:10, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:automation-controller-cli, p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower, p-cpe:/a:redhat:enterprise_linux:automation-platform-ui, p-cpe:/a:redhat:enterprise_linux:python-django, p-cpe:/a:redhat:enterprise_linux:python3-django, p-cpe:/a:redhat:enterprise_linux:python3.12-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3.12-django, p-cpe:/a:redhat:enterprise_linux:python3.12-gitpython
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/8/24
漏洞发布日期: 2026/4/7
参考资料信息
CVE: CVE-2026-12143, CVE-2026-15307, CVE-2026-34993, CVE-2026-39373, CVE-2026-44545, CVE-2026-44705, CVE-2026-52902, CVE-2026-59886, CVE-2026-67322, CVE-2026-67323, CVE-2026-67324, CVE-2026-67325, CVE-2026-69243, CVE-2026-69244, CVE-2026-71364, CVE-2026-71365, CVE-2026-71366, CVE-2026-73620