2.8.4 update with various bugfixes. Also Fixes CVE-2019-10217 and CVE-2019-10206

----

New 2.8.3 upstream bugfix release.

Note that Tenable Network Security has extracted the preceding description block directly from the Fedora update system website.
Tenable has attempted to automatically clean and format it as much as possible without introducing additional issues.

An update of the ansible package has been released.

2.8.4さまざまなバグ修正で更新します。また、CVE-2019-10217およびCVE-2019-10206を修正します

----

新しい2.8.3 Upstreamバグ修正リリース 

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ansibleをバージョン2.9.6にするこの更新プログラムでは、以下の問題が修正されています：

修正されたセキュリティ問題：

  - CVE-2019-14904：細工されたsolarisゾーンによるsolaris_zoneモジュールの脆弱性を修正しました（boo#1157968）。

  - CVE-2019-14905：nxos_file_copyモジュール内の悪意のあるコードによってでファイル名が細工される可能性のある問題を修正しました（boo#1157969）。

  - CVE-2019-14864：ログ内の機密データを漏洩するSplunkコールバックプラグインとSumologicコールバックプラグインを修正しました（boo#1154830）。

  - CVE-2019-14846：表示がDEBUGレベルにハードコードされたことが原因のログ上のシークレット漏洩を修正しました（boo#1153452）

  - CVE-2019-14856：CVE-2019-10206の不十分な修正を修正しました（boo#1154232）

  - CVE-2019-14858：詳細度を上げて実行した場合にマスクされずに表示されるサブパラメーターフィールド内のデータを修正しました（boo#1154231） 

  - CVE-2019-10206：ansible-playbook -kツールとansible cliツールは、テンプレートからパスワードを拡張することによってパスワードを要求するため、パスワードに特殊文字が含まれる可能性があります。テンプレートをトリガーして漏洩させないようにするには、パスワードをラップする必要があります。（boo#1142690）

  - CVE-2019-10217：機密データを管理するフィールドは、no_log機能に合わせて設定する必要があります。GCPモジュール内のこれらのフィールドの一部が正しく設定されていません。
    すべてのgcpモジュールに共通のクラスであるservice_account_contents（）がno_logをTrueに設定していません。この関数によって管理される機密データは、ansibleプレイブックを実行中に出力として漏洩する可能性があります。（boo#1144453）

The remote Redhat Enterprise Linux 7 / 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2019:2542 advisory.

    Ansible is a simple model-driven configuration management, multi-node deployment, and remote-task     execution system. Ansible works over SSH and does not require any software or daemons to be installed on     remote nodes. Extension modules can be written in any language and are transferred to managed machines     automatically.

    The following packages have been upgraded to a newer upstream version: ansible (2.8.4)

    Security fix(es):

    * Ansible: data disclosure when a password from the prompt contains template characters (CVE-2019-10206)
    * Ansible: gcp modules do not flag sensitive data fields properly (CVE-2019-10217)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Bug Fix(es):

    For details on bug fixes in this release see:

    https://github.com/ansible/ansible/blob/v2.8.4/changelogs/CHANGELOG-v2.8.rst

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Redhat Enterprise Linux 7 / 8 host has a package installed that is affected by multiple vulnerabilities as referenced in the RHSA-2019:2543 advisory.

    Ansible is a simple model-driven configuration management, multi-node deployment, and remote-task     execution system. Ansible works over SSH and does not require any software or daemons to be installed on     remote nodes. Extension modules can be written in any language and are transferred to managed machines     automatically.

    The following packages have been upgraded to a newer upstream version: ansible (2.8.4)

    Security fix(es):

    * Ansible: data disclosure when a password from the prompt contains template characters (CVE-2019-10206)
    * Ansible: gcp modules do not flag sensitive data fields properly (CVE-2019-10217)

    For more details about the security issue(s), including the impact, a CVSS score, and other related     information, refer to the CVE page(s) listed in the References section.

    Bug Fix(es):

    For details on bug fixes in this release see:

    https://github.com/ansible/ansible/blob/v2.8.4/changelogs/CHANGELOG-v2.8.rst

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

This update for ansible to version 2.9.6 fixes the following issues :

Security issues fixed :

  - CVE-2019-14904: Fixed a vulnerability in solaris_zone     module via crafted solaris zone (boo#1157968).

  - CVE-2019-14905: Fixed an issue where malicious code     could craft filename in nxos_file_copy module     (boo#1157969).

  - CVE-2019-14864: Fixed Splunk and Sumologic callback     plugins leak sensitive data in logs (boo#1154830).

  - CVE-2019-14846: Fixed secrets disclosure on logs due to     display is hardcoded to DEBUG level (boo#1153452)

  - CVE-2019-14856: Fixed insufficient fix for     CVE-2019-10206 (boo#1154232)

  - CVE-2019-14858: Fixed data in the sub parameter fields     that will not be masked and will be displayed when run     with increased verbosity (boo#1154231) 

  - CVE-2019-10206: ansible-playbook -k and ansible cli     tools prompt passwords by expanding them from templates     as they could contain special characters. Passwords     should be wrapped to prevent templates trigger and     exposing them. (boo#1142690)

  - CVE-2019-10217: Fields managing sensitive data should be     set as such by no_log feature. Some of these fields in     GCP modules are not set properly.
    service_account_contents() which is common class for all     gcp modules is not setting no_log to True. Any sensitive     data managed by that function would be leak as an output     when running ansible playbooks. (boo#1144453)

リモート Redhat Enterprise Linux 7 / 8 ホストに、RHSA-2019:2543 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - Ansible: パスワードとテンプレート文字の入力を求められたときのデータ漏洩 (CVE-2019-10206)

  - Ansible: gcp モジュールが機密データフィールドに適切にフラグを付けません (CVE-2019-10217)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Ansibleの更新プログラムがAnsible Engine 2.8で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。次のパッケージが新しいアップストリームバージョンにアップグレードされました。ansible（2.8.4）セキュリティ修正プログラム：* Ansible：プロンプトのパスワードにテンプレート文字が含まれる場合のデータ漏えい（CVE-2019-10206）* Ansible：gcpモジュールは機密データフィールドに適切にフラグを設定しない（CVE-2019-10217）影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。バグ修正プログラム：このリリースのバグ修正の詳細については、https://github.com/ansible/ansible/blob/v2.8.4/changelogs/CHANGELOG-v2 .8.rstを参照してください。

現已提供適用於 Ansible Engine 2.8 版的 Ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。可用任何語言撰寫延伸模組，並可自動傳輸至受管理的機器。下列套件已升級至更新的上游版本：ansible (2.8.4)。安全性修正：* Ansible：當來自提示的密碼含有範本字元時會發生資料洩露 (CVE-2019-10206) * Ansible：gcp 模組未正確標示敏感資料欄位 (CVE-2019-10217) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。錯誤修正：如需此版本錯誤修正的詳細資料，請參閱 https://github.com/ansible/ansible/blob/v2.8.4/changelogs/CHANGELOG-v2 .8.rst。

遠端 Redhat Enterprise Linux 7 / 8 主機上安裝的多個套件受到 RHSA-2019:2543 公告中提及的多個弱點影響。

  - Ansible：系統提示輸入密碼且傳遞範本字元時，資料洩漏 (CVE-2019-10206)

  - Ansible：gcp 模組未正確標示敏感資料欄位 (CVE-2019-10217)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

Ansible 更新现在可用于 Ansible Engine 2.8。Red Hat 产品安全团队将此更新评级为具有中等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Ansible 是一个基于模块的简单系统，可实现配置管理、多节点部署和远程任务执行。Ansible 在 SSH 上工作，无需在远程节点上安装任何软件或守护进程。扩展模块能以任何语言写入，并自动传输至托管机器。下列程序包已升级到更新的上游版本：ansible (2.8.4) 安全修复：* Ansible：当提示中的密码包含模板字符时，就会造成数据泄露 (CVE-2019-10206) * Ansible：gcp 模块无法正确标记敏感数据字段 (CVE-2019-10217) 有关安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷修复：要获取关于此版本缺陷修复的详细信息，请查看：https://github.com/ansible/ansible/blob/v2.8.4/changelogs/CHANGELOG-v2 .8.rst

远程 Redhat Enterprise Linux 7/8 主机上安装的一个程序包受到 RHSA-2019:2543 公告中提及的多个漏洞影响。

  - Ansible：传递密码和模板字符时泄露数据 (CVE-2019-10206)

  - Ansible：gcp 模块未正确标记敏感数据字段 (CVE-2019-10217)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
128431	Fedora 30 : ansible (2019-01e86d4832)	Nessus	Fedora Local Security Checks	2019/9/3	2024/4/30	medium
135779	Photon OS 3.0: Ansible PHSA-2020-3.0-0078	Nessus	PhotonOS Local Security Checks	2020/4/21	2025/8/22	high
128431	Fedora 30：ansible（2019-01e86d4832）	Nessus	Fedora Local Security Checks	2019/9/3	2024/4/30	medium
135454	openSUSEセキュリティ更新プログラム：ansible（openSUSE-2020-513）	Nessus	SuSE Local Security Checks	2020/4/14	2024/3/19	high
128107	RHEL 7 / 8 : Ansible (RHSA-2019:2542)	Nessus	Red Hat Local Security Checks	2019/8/23	2024/11/6	medium
193993	RHEL 7 / 8 : Ansible (RHSA-2019:2543)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/6	medium
135298	Photon OS 2.0: Ansible PHSA-2020-2.0-0226	Nessus	PhotonOS Local Security Checks	2020/4/10	2024/7/22	high
135454	openSUSE Security Update : ansible (openSUSE-2020-513)	Nessus	SuSE Local Security Checks	2020/4/14	2024/3/19	high
193993	RHEL 7 / 8 : Ansible (RHSA-2019:2543)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/6	medium
128107	RHEL 7/8：Ansible（RHSA-2019:2542）	Nessus	Red Hat Local Security Checks	2019/8/23	2024/11/6	medium
128107	RHEL 7 / 8：Ansible (RHSA-2019:2542)	Nessus	Red Hat Local Security Checks	2019/8/23	2024/11/6	medium
193993	RHEL 7 / 8：Ansible (RHSA-2019:2543)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/6	medium
128107	RHEL 7 / 8：Ansible (RHSA-2019:2542)	Nessus	Red Hat Local Security Checks	2019/8/23	2024/11/6	medium
193993	RHEL 7 / 8 : Ansible (RHSA-2019:2543)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/11/6	medium

检测

插件搜索

medium

high

medium

high

medium

medium

high

high

medium

medium

medium

medium

medium

medium