RHEL 9：Satellite 6.19.4 异步更新（重要）(RHSA-2026:63385)
high Nessus 插件 ID 342743
语言：
简介
远程 Red Hat 主机缺少一个或多个安全更新。描述
远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2026:63385 公告中提及的多个漏洞影响。Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。
安全修复：
* ansible-core：ansible-galaxy 角色安装中的参数注入导致任意代码执行 （CVE-2026-11332）
* ansible-core：通过 git clone 在 ansible-galaxy 集合安装中的参数注入（不 CVE-2026-11332完整的修复）（CVE-2026-16493）
* openvox-server：jackson-databind：通过 PolymorphicTypeValidator 绕过 （CVE-2026-54512） 执行任意代码
* puppetserver：jackson-databind：通过 PolymorphicTypeValidator 绕过 （CVE-2026-54512） 执行任意代码
* rubygem-jwt： ruby-jwt：由于 HMAC 验证中的空密钥，存在身份验证绕过 （CVE-2026-45363）
* python-aiohttp： AIOHTTP：通过畸形 HTTP 响应造成的拒绝服务 （CVE-2026-69244）
* python-aiohttp： AIOHTTP：通过 WebSocket 升级的 HTTP 请求走私 （CVE-2026-69243）
* python-aiohttp： AIOHTTP：通过对 CookieJar.load（） （）CVE-2026-34993 的不受信任输入执行任意代码
* openvox-server：jackson-core：异步 JSON 解析器 （CVE-2026-68494） 中不完整的修复导致拒绝服务
* openvox-server：Eclipse Jetty：由于跨连接保留 HTTP/1.1 尾部而导致信息泄露 （CVE-2026-10051）
* python-gitpython：GitPython：通过不当的 git 选项验证 （CVE-2026-73624） 进行任意文件覆盖
* python-gitpython：GitPython：通过 kwarg 值走私 （CVE-2026-73625） 远程代码执行
* python-gitpython：GitPython：通过 URL 处理中的环境变量扩展泄露信息 （CVE-2026-73622）
* python-gitpython：GitPython：通过恶意 Git 模板 （CVE-2026-73623） 进行的远程代码执行
* python-gitpython：GitPython：通过不安全的 git 选项转发 （CVE-2026-73620） 进行任意文件覆盖和读取
* python-gitpython：GitPython：通过不当验证克隆选项执行任意代码 （CVE-2026-42284）
* python3.12-gitpython： GitPython： 通过不当验证克隆选项 （CVE-2026-42284） 执行任意代码
* python-gitpython：GitPython：由于绕过危险的 Git 选项检查而导致任意命令执行 （CVE-2026-42215）
* python3.12-gitpython：GitPython：由于绕过危险的 Git 选项检查 （CVE-2026-42215） 而导致执行任意命令
* python-gitpython：GitPython：通过在 Git 配置 （CVE-2026-44244） 中注入的换行符执行任意代码
* python3.12-gitpython：GitPython：通过在 Git 配置 （CVE-2026-44244） 中注入的换行符执行任意代码
* python-gitpython：GitPython：通过 .gitmodules 子模块名称 （CVE-2026-76222） 中的路径遍历创建任意文件
* python3.12-gitpython：GitPython：通过 .gitmodules 子模块名称 （CVE-2026-76222） 中的路径遍历创建任意文件
* python-gitpython：GitPython：通过恶意 Git 挂钩 （CVE-2026-76218） 进行的远程代码执行
* python3.12-gitpython：GitPython：通过恶意 Git 挂钩 （CVE-2026-76218） 进行的远程代码执行
* python-gitpython：GitPython：通过构建的 kwargs （CVE-2026-76220） 执行任意命令
* python3.12-gitpython：GitPython：通过构建的 kwargs （CVE-2026-76220） 执行任意命令
* python-gitpython：GitPython：通过“git read-tree”选项注入 （CVE-2026-76219） 进行任意文件覆盖
* python3.12-gitpython：GitPython：通过“git read-tree”选项注入 （CVE-2026-76219） 进行任意文件覆盖
* python-gitpython：GitPython：通过 config-name 注入 （CVE-2026-76221） 执行任意代码
* python3.12-gitpython：GitPython：通过 config-name 注入 （CVE-2026-76221） 执行任意代码
Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
更新受影响的程序包。另见
https://access.redhat.com/errata/RHSA-2026:63385
https://access.redhat.com/security/updates/classification/#important
https://issues.redhat.com/browse/SAT-45592
https://issues.redhat.com/browse/SAT-46105
https://issues.redhat.com/browse/SAT-48574
https://issues.redhat.com/browse/SAT-48584
https://issues.redhat.com/browse/SAT-48585
https://issues.redhat.com/browse/SAT-48586
https://issues.redhat.com/browse/SAT-48587
https://issues.redhat.com/browse/SAT-48588
https://issues.redhat.com/browse/SAT-48589
插件详情
严重性: High
ID: 342743
文件名: redhat-RHSA-2026-63385.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/9/4
最近更新时间: 2026/9/4
支持的传感器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: High
分数: 7.6
百分位: 98.4
Vendor
Vendor Severity: Important
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2026-42284
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
风险因素: High
Base Score: 8.7
Threat Score: 7.4
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-76221
漏洞信息
CPE: cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:ansible-core, p-cpe:/a:redhat:enterprise_linux:ansible-test, p-cpe:/a:redhat:enterprise_linux:openvox-server, p-cpe:/a:redhat:enterprise_linux:python3.12-aiohttp, p-cpe:/a:redhat:enterprise_linux:python3.12-gitpython, p-cpe:/a:redhat:enterprise_linux:rubygem-jwt
必需的 KB 项: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/9/3
漏洞发布日期: 2026/4/25
参考资料信息
CVE: CVE-2026-10051, CVE-2026-11332, CVE-2026-16493, CVE-2026-34993, CVE-2026-42215, CVE-2026-42284, CVE-2026-44244, CVE-2026-45363, CVE-2026-54512, CVE-2026-68494, CVE-2026-69243, CVE-2026-69244, CVE-2026-73620, CVE-2026-73622, CVE-2026-73623, CVE-2026-73624, CVE-2026-73625, CVE-2026-76218, CVE-2026-76219, CVE-2026-76220, CVE-2026-76221, CVE-2026-76222