远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:0797 公告中提及的多个漏洞影响。

    Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

    安全修复：
    * CVE-2023-26049 (puppetserver)：解析引用值的 Cookie 可泄露其他 Cookie 中的值
    * CVE-2023-26141 (rubygem-sidekiq)：dashboard-charts 中的拒绝服务 (DoS)
    * CVE-2023-36479 (puppetserver)：向 CgiServlet 中的用户输入添加不正确的引号
    * CVE-2023-38545 (puppetserver)：SOCKS5 代理握手中存在基于堆的缓冲区溢出漏洞
    * CVE-2023-40167 (puppetserver)：不当验证 HTTP/1 content-length
    * CVE-2023-40175 (rubygem-puma)：解析分块传输编码正文和零长度内容长度标头时，HTTP 请求走私
    * CVE-2023-4785 (rubygem-grpc)：文件描述符耗尽导致拒绝服务
    * CVE-2023-0809、CVE-2023-28366、CVE-2023-3592 (mosquitto)：内存泄漏导致代理不响应

    此更新修复了以下缺陷：
    2250347 - 在 java.time.format.DateTimeFormatter.parseResolved 的索引 0 上无法解析“Sun, 11 Jun 2023 17:51:29 GMT”2254974 - satellite-convert2rhel-toolkit 在带有“/usr/bin”的最新 rpm 上安装失败/bash：
    2255260 - 6.14 - satellite-convert2rhel-toolkit 是 satellite-convert2rhel-appliance/action-install.sh：此文件或目录是 satellite-convert2rhel-toolkit 的一部分 2257321 - 请求 UEFI Kickstart 配置以处理命名约定适用于格式 <parent_device> 的 VLAN 标记接口。<vlan_id> 除了 vlan <vlan_id> 2257324 - 生成适用性任务失败，并出现错误错误：在表 katello_content_facet_errata 上插入或更新违反外键限制 katello_content_facet_errata_ca_id 2257326 - 在失败安装报告中显示失败的资源 2257327 - 不包含任何消息的 Puppet 报告不会获得源 2257329 - 当 VLAN 名称包含大写字母时，主机注册会出现错误“Added to cannot be blank” 2257330 - 默认调整配置文件离开 httpd MaxClients 150，而 httpd 会发出警告 2257331 - 通过负载平衡器注册主机导致 REX 不知道是什么封装体为“registered_through”进行选择 2257332 - 当其位置未分配给 admin 用户时，注册无法找到任何 Capsule 2257415 - 置备 vm 主机失败并显示错误 Failed to attach ISO image to CDROM drive of instance client.example.com: InvalidPowerState：无法在当前状态（已开机）下执行尝试的操作。
    2260525 - [改进] Capsule Sync 中的 RefreshRepos 步骤进行刷新，仅 repos 进行同步 2262131 - 无法从 gcr.io 同步 library/busybox

    建议 Red Hat Satellite 用户升级至这些更新后的程序包，其中修复了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 Oracle Business Intelligence Enterprise Edition (OAS) 7.0.0.0 版本受到 2025 年 1 月 CPU 公告中提及的以下多个漏洞的影响：

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server (SciPy)）。支持的版本中受影响的是 7.0.0.0.0 和 7.6.0.0.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功攻击此漏洞可导致接管 Oracle Business Intelligence Enterprise Edition。(CVE-2023-29824)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Platform Security (OpenSSL)）。支持的版本中受影响的是 7.0.0.0.0、7.6.0.0.0 和 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 TLS 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功利用此漏洞进行攻击可导致在未经授权的情况下访问关键数据，或完全访问 Oracle Business Intelligence Enterprise Edition 所有可访问数据，以及在未经授权的情况下导致 Oracle Business Intelligence Enterprise Edition 发生系统挂起或频繁出现崩溃（完全 DOS）。(CVE-2024-5535)

  - Oracle Analytics 的 Oracle Business Intelligence Enterprise Edition 产品中的漏洞（组件：Analytics Server、Pipeline Test Failures、Installation (Spring Framework)）。支持的版本中受影响的是 7.0.0.0.0、7.6.0.0.0 和 12.2.1.4.0。利用漏洞此漏洞的难度较低，通过 HTTP 访问网络的未经验证的攻击者可以借此入侵 Oracle Business Intelligence Enterprise Edition。成功攻击此漏洞可导致在未经授权的情况下造成 Oracle Business Intelligence Enterprise Edition 部分拒绝服务（部分 DOS）(CVE-2024-38809)。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

因此，它受到 ALAS2023-2023-282 公告中提及的多个漏洞影响。

  - 当 gRPC HTTP2 堆栈引发“超出标头大小”错误时，它会跳过解析 HPACK 帧的其余部分。
    这会造成程序跳过任何 HPACK 表变更，进而导致发送者和接收者之间的 HPACK 表不同步。例如，如果在代理和后端之间利用此问题，可导致来自代理的请求被解释为包含来自不同代理客户端的标头，从而发生信息泄漏，而攻击者可以借此提升权限或造成数据外泄。建议升级为比 https://github.com/grpc/grpc/pull/33005 https://github.com/grpc/grpc/pull/33005 中包含的 Commit 更高的版本 (CVE-2023-32731)

  - gRPC 中包含一个漏洞，客户端可利用此漏洞导致 HTTP2 代理和 gRPC 服务器之间的连接终止：带“-bin”后缀的标头的 base64 编码错误将导致 gRPC 服务器断开连接，但 HTTP2 代理通常允许这样做。建议升级为比 https://github.com/grpc/grpc/pull/32309 https://www.google.com/url 中包含的 Commit 更高的版本 (CVE-2023-32732)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
194396	RHEL 8：Satellite 6.14.2 异步安全更新（重要） (RHSA-2024:0797)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/11	high
214600	Oracle Business Intelligence Enterprise Edition (OAS 7.0)（2025 年 1 月 CPU）	Nessus	Misc.	2025/1/24	2025/7/11	critical
179767	Amazon Linux 2023：grpc、grpc-cpp、grpc-data (ALAS2023-2023-282)	Nessus	Amazon Linux Local Security Checks	2023/8/14	2024/12/11	critical

检测

插件搜索

high

critical

critical