远程 Redhat Enterprise Linux 7 主机上安装的多个程序包受到 RHSA-2018:1972 公告中提及的多个漏洞影响。

  - ansible-tower：权限升级缺陷允许组织管理员获取系统权限 (CVE-2018-1101)

  - ansible-tower：具有在作业模板中定义变量的访问权限的用户的远程代码执行 (CVE-2018-1104)

  - python-paramiko：transport.py 中的身份验证绕过 (CVE-2018-7750)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

rhvm-appliance 的更新现在可用于 RHEL 7 的 Red Hat Virtualization 4。Red Hat 产品安全团队将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。RHV-M Virtual Appliance 可自动化 Red Hat Virtualization Manager 的安装和配置过程。可从客户门户网站中，下载此设备为 OVA 文件。下列程序包已升级到更高的上游版本：rhvm-appliance (4.2)。(BZ#1558801, BZ#1563545) 安全修复：* python-paramiko：transport.py 中的验证绕过 (CVE-2018-7750) * slf4j：EventData 构造函数中的反序列化漏洞允许任意代码执行 (CVE-2018-8088) * undertow：客户端可在摘要认证中使用 bogus uri (CVE-2017-12196) * jackson-databind：黑名单不完全造成反序列化不安全（CVE-2017-7525 和 CVE-2017-17485 的修复不完整） (CVE-2018-5968) * ovirt-engine：通过登录 web 控制台进行帐户枚举 (CVE-2018-1073) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。Red Hat 在此感谢 Chris McCown 报告 CVE-2018-8088。CVE-2017-12196 问题由 Jan Stourac (Red Hat) 发现。增强功能：* 之前，RHV-M Virtual Appliance 的默认内存配额足够大，可支援用户新增量。在此版本中，RHV-M Virtual Appliance 纳入了一个 swap 分割区，可在需要时增加内存。(BZ#1422982) * 先前，RHV-M Virtual Appliance 的分区方案包含两个主要分区，即“/”和 swap。在此版本中，磁碟分割区方案已经过调整，以符合 NIST 指定的方案。更新过的磁碟分割区如下：/boot 1G（主要）/home 1G (lvm) /tmp 2G (lvm) /var 20G (lvm) /var/log 10G (lvm) /var/log/audit 1G (lvm) swap 8G (lvm) / 6G（主要）(BZ#1463853) * 之前，版本标记被用来作为 RPM 命名方案的一部分（例如，“4.1.timestamp”），这造成上游和下游版本方案间有所差异。在此版本中，下游版本方案配合上游版本方案，时间戳已从版本标记移至版次标记。(BZ#1464486)

CVE-2018-1000805 修复漏洞，防止恶意客户端诱骗 Paramiko 服务器将未经身份验证的客户端认为经过身份验证。CVE-2018-7750 修复了在处理其他请求之前会检查是否完成身份验证。自定义 SSH 客户端可以轻易略过验证步骤。对于 Debian 8“Jessie”，这些问题已在 1.15.1-1~deb8u1 版本中修复。建议您升级 paramiko 程序包。注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下，尽可能进行自动整理和排版。

python-paramiko 的更新现在可用于 RHEL 7 的 Red Hat Ansible Engine 2.4。Red Hat 产品安全团队将此更新评级为具有低等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

来自 Red Hat 安全公告 2018:1124： python-paramiko 的更新现可用于 Red Hat Enterprise Linux 6。 Red Hat 产品安全团队已将此更新评级为具有重大安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。 python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密隧道打开连接至远程服务的任意通道。 安全补丁： * python-paramiko：transport.py 中的身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

安全修复：- python-paramiko：transport.py 中的验证绕过 (CVE-2018-7750)

远程 Debian 9 主机上安装的程序包受到 dla-2860 公告中提及的多个漏洞影响。

  - 在 Paramiko 2.4.1、2.3.2、2.2.3、2.1.5、2.0.8、1.18.5、1.17.6 版本中，SSH 服务器上有一个可导致 RCE 的不正确访问控制漏洞。此攻击似乎可通过网络连接加以利用。(CVE-2018-1000805)

  - 在 1.17.6 版之前的 Paramiko、1.18.5 版之前的 Paramiko 1.18.x、2.0.8 版之前的 Paramiko 2.0.x、2.1.5 版之前的 Paramiko 2.1.x、2.2.3 版之前的 Paramiko 2.2.x、2.3.2 版之前的 Paramiko 2.3.x 以及 2.4.1 版之前的 Paramiko 2.4.x 中，当实现 SSH 服务器时，transport.py 未在处理其他请求前正确检查验证是否完成，channel-open 即为一例。自定义 SSH 客户端可以跳过验证步骤。(CVE-2018-7750)

请注意，Nessus 尚未测试此问题，而是只依靠应用程序自我报告的版本号来判断。

python-paramiko 的更新现在可用于 RHEL 7 的 Red Hat Ansible Engine 2。Red Hat 产品安全团队将此更新评级为具有低等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

python-paramiko 的更新现可用于 Red Hat Enterprise Linux 7 Extras。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。缺陷补丁：* python-paramiko 一直使用 python2-pyasn1 程序包，但未依赖该程序包。使用新版本的 python2-cryptography 时，python2-pyasn1 未能安装，导致 python-paramiko 故障。此漏洞通过使 python-paramiko 明确依赖于 python2-pyasn1 而得到修复。(BZ#1559133)

现已提供适用于 RHEL 7 之 Red Hat Virtualization 4 Management Agent 和 Red Hat Virtualization Manager 4.1 的 python-paramiko 更新。Red Hat 产品安全团队将此更新评级为具有低等安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。下列程序包已升级到更高的上游版本：python-paramiko (2.1.1)。(BZ#1562393) 安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

远程 Redhat Enterprise Linux 7 主机上安装的程序包受到 RHSA-2018:1328 公告中提及的多个漏洞影响。

  - ansible-tower：特权提升缺陷允许组织管理员获取系统特权 (CVE-2018-1101)

  - ansible-tower：具有在作业模板中定义变量的访问权限的用户的远程代码执行 (CVE-2018-1104)

  - python-paramiko：transport.py 中的身份验证绕过 (CVE-2018-7750)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

python-paramiko 更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

python-paramiko 的更新现可用于 Red Hat Enterprise Linux 6。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

python-paramiko 的更新现可用于 Red Hat Enterprise Linux 6.4 Advanced Update Support、Red Hat Enterprise Linux 6.5 Advanced Update Support、Red Hat Enterprise Linux 6.6 Advanced Update Support、Red Hat Enterprise Linux 6.6 Telco Extended Update Support 和 Red Hat Enterprise Linux 6.7 Extended Update Support。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。python - paramiko 程序包提供的 Python 模块可实现 SSH2 协议，其可用于已加密且经身份验证的远程计算机连接。与 SSL 不同，SSH2 协议不需要由强大的中央机构签署的分层证书。此协议还可跨加密渠道打开连接至远程服务的任意通道。安全修复：* python-paramiko：在 transport.py 中出现身份验证绕过 (CVE-2018-7750) 有关此安全问题的详细信息，包括其影响、CVSS 分数和其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Matthijs Kooijman 发现 Paramiko 的 SSH 服务器实施在处理请求前，未能正确要求验证。未经验证的远程攻击者可能利用此问题执行任意代码。

请注意，Tenable Network Security 已直接从 Ubuntu 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动整理和排版。

运行版本 MAIN 4.05 的远程 NewStart CGSL 主机安装有受漏洞影响的 python-paramiko 程序包：- 发现当用作 SSH 服务器时，paramiko 未在处理其他请求前正确检查是否已经完成身份验证。当访问由 paramiko 控制的任何资源时，自定义的 SSH 客户端可利用此问题绕过身份验证。(CVE-2018-7750) 请注意，Nessus 并未针对此问题进行测试，而仅依赖应用程序自我报告的版本号。

transport.py 中的验证绕过。Paramiko 1.17.6 之前版本、1.18.5 之前的 1.18.x、2.0.8 之前的 2.0.x、2.1.5 之前的 2.1.x、2.2.3 之前的 2.2.x、2.3.2 之前的 2.3.x 和 2.4.1 之前的 2.4.x 的 SSH 服务器实现中，transport.py 未在处理其他请求前正确检查验证是否完成，channel-open 即为一例。自定义 SSH 客户端可以轻易略过验证步骤。(CVE-2018-7750)

远程 OracleVM 系统缺少解决关键安全更新的必要补丁：

  - 修复并启用测试 (%check)。

  - 向后移植变更，此变更会使测试在失败时以非零状态退出。

  - 添加针对 CVE-2018-7750 的上游测试的补丁（在之前版本中中断）。

  - 修复 Paramiko 服务器模式中的安全缺陷 (CVE-2018-7750)（强调 **服务器** 模式，这 **不** 影响 *客户端的* 使用！）从 1.10 向后移植：解决 #1557140

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
194115	RHEL 7：Red Hat CloudForms (RHSA-2018:1972)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	critical
109910	RHEL 7：Virtualization (RHSA-2018:1525)	Nessus	Red Hat Local Security Checks	2018/5/18	2025/3/20	critical
118469	Debian DLA-1556-1：paramiko 安全更新	Nessus	Debian Local Security Checks	2018/10/29	2024/7/29	critical
109387	RHEL 7 : python-paramiko (RHSA-2018:1213)	Nessus	Red Hat Local Security Checks	2018/4/27	2024/11/5	critical
109025	Oracle Linux 6 : python-paramiko (ELSA-2018-1124)	Nessus	Oracle Linux Local Security Checks	2018/4/13	2024/11/1	critical
109057	Scientific Linux 安全更新：SL6.x 中的 python-paramiko (noarch)	Nessus	Scientific Linux Local Security Checks	2018/4/16	2024/11/1	critical
156334	Debian DLA-2860-1：paramiko - LTS 安全更新	Nessus	Debian Local Security Checks	2021/12/28	2022/1/20	critical
108982	RHEL 7 : python-paramiko (RHSA-2018:0646)	Nessus	Red Hat Local Security Checks	2018/4/11	2024/11/5	critical
108643	RHEL 7 : python-paramiko (RHSA-2018:0591)	Nessus	Red Hat Local Security Checks	2018/3/27	2024/11/5	critical
109567	RHEL 7：Virtualization (RHSA-2018:1274)	Nessus	Red Hat Local Security Checks	2018/5/4	2024/4/27	critical
193821	RHEL 7：CloudForms 4.6.2 更新（重要）(RHSA-2018:1328)	Nessus	Red Hat Local Security Checks	2024/4/24	2025/3/21	critical
109526	CentOS 6 : python-paramiko (CESA-2018:1124)	Nessus	CentOS Local Security Checks	2018/5/3	2019/12/31	critical
109026	RHEL 6 : python-paramiko (RHSA-2018:1124)	Nessus	Red Hat Local Security Checks	2018/4/13	2024/11/7	critical
109027	RHEL 6 : python-paramiko (RHSA-2018:1125)	Nessus	Red Hat Local Security Checks	2018/4/13	2024/4/27	critical
108514	Ubuntu 14.04 LTS / 16.04 LTS：Paramiko 漏洞 (USN-3603-1)	Nessus	Ubuntu Local Security Checks	2018/3/21	2024/8/27	critical
127400	NewStart CGSL MAIN 4.05：python-paramiko 漏洞 (NS-SA-2019-0138)	Nessus	NewStart CGSL Local Security Checks	2019/8/12	2021/1/14	critical
108850	Amazon Linux AMI : python-paramiko (ALAS-2018-989)	Nessus	Amazon Linux Local Security Checks	2018/4/6	2024/11/20	critical
109157	OracleVM 3.3 / 3.4：python-paramiko (OVMSA-2018-0034)	Nessus	OracleVM Local Security Checks	2018/4/19	2024/10/30	critical

检测

插件搜索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical