远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2023:4692 公告中提及的多个漏洞影响。

  - python-django：文件上传中潜在的拒绝服务漏洞 (CVE-2023-24580)

  - python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 9 主机上安装的程序包受到 RHSA-2024: 0212 公告中提及的漏洞影响。

  - 在 Django 3.2.20 之前的 3.2 版、 4.1.10 之前的 4 版，及 4.2.3之前的 4.2 版中，EmailValidator 和 URLValidator 会通过大量电子邮件和 URL 的域名标签遭受潜在的 ReDoS（正则表达式拒绝服务）攻击。(CVE-2023-36053)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2023:6818 公告中提及的多个漏洞影响。

  - kubeclient：kubeconfig 解析错误可导致 MITM 攻击 (CVE-2022-0759)

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-1292)

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-2068)

  - Pulp：以明文存储的令牌 (CVE-2022-3644)

  - foreman：通过 ct_command 和 fcct_command 注入 OS 命令 (CVE-2022-3874)

  - satellite：通过引用标头造成盲 SSRF (CVE-2022-4130)

  - python-future：远程攻击者可通过来自恶意 Web 服务器的构建的 Set-Cookie 标头造成拒绝服务 (CVE-2022-40899)

  - golang: net/http: 接受 HTTP/2 请求的 Go 服务器发生内存使用过度增长 (CVE-2022-41717)

  - rubygem-activerecord：拒绝服务 (CVE-2022-44566)

  - rubygem-rack：Content-Disposition 解析过程中存在拒绝服务（CVE-2022-44570、 CVE-2022-44571、 CVE-2022-44572）

  - ruby-git：修复代码注入漏洞 (CVE-2022-46648、CVE-2022-47318)

  - Foreman：通过模板执行任意代码 (CVE-2023-0118)

  - Foreman：主机选项卡中存储型 XSS (CVE-2023-0119)

  - puppet：Puppet 服务器 ReDoS (CVE-2023-1894)

  - rubygem-actionpack：Action Dispatch 中存在拒绝服务 (CVE-2023-22792、CVE-2023-22795)

  - rubygem-activerecord：SQL 注入 (CVE-2023-22794)

  - rubygem-activesupport：正则表达式拒绝服务 (CVE-2023-22796)

  - rubygem-globalid：ReDoS 漏洞（CVE-2023-22799）

  - rubygem-rack：解析 Multipart MIME 时发生拒绝服务 (CVE-2023-27530)

  - rubygem-rack：解析标头时发生拒绝服务 (CVE-2023-27539)

  - golang：net/http：对主机标头的审查不充分 (CVE-2023-29406)

  - sqlparse：解析器包含易受 ReDOS（正则表达式拒绝服务）攻击的正则表达式 (CVE-2023-30608)

  - python-django：使用一个表单字段上传多个文件时可能绕过验证 (CVE-2023-31047)

  - python-requests：Proxy-Authorization 标头意外泄漏 (CVE-2023-32681)

  - python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

  - golang：net/http、x/net/http2：快速流重置可能会导致过多工作 (CVE-2023-44487) (CVE-2023-39325)

  - GitPython：未拦截 clone 和 clone_from 中不安全的非多重选项 (CVE-2023-40267)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 20.04 LTS / 22.04 LTS 主机上安装的程序包受到 USN-6203-1 公告中提及的漏洞的影响。

  - 在 Django 3.2.20 之前的 3.2 版、 4.1.10 之前的 4 版，及 4.2.3之前的 4.2 版中，EmailValidator 和 URLValidator 会通过大量电子邮件和 URL 的域名标签遭受潜在的 ReDoS（正则表达式拒绝服务）攻击。(CVE-2023-36053)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 10 主机上安装的多个程序包受到 dla-3500 公告中提及的一个漏洞影响。

  - 在 Django 3.2.20 之前的 3.2 版、 4.1.10 之前的 4 版，及 4.2.3之前的 4.2 版中，EmailValidator 和 URLValidator 会通过大量电子邮件和 URL 的域名标签遭受潜在的 ReDoS（正则表达式拒绝服务）攻击。(CVE-2023-36053)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Rocky Linux 8 主机上安装的多个程序包受到 RLSA-2023:6818 公告中提及的多个漏洞影响。

  - 在所有 kubeclient 版本中，v4.9.3 及之前版本（Kubernetes REST API 的 Ruby 客户端）解析 kubeconfig 文件的方式中发现缺陷。当 kubeconfig 文件未配置自定义 CA 来验证证书时，kubeclient 会接受任何证书（错误地返回 VERIFY_NONE）。
    利用 kubeclient 解析 kubeconfig 文件的 Ruby 应用程序容易受到中间人攻击 (MITM)。(CVE-2022-0759)

  - c_rehash 脚本未正确审查 shell 元字符以防止命令注入。某些操作系统以自动执行的方式分发此脚本。在此类操作系统中，攻击者可以使用脚本的权限执行任意命令。使用 c_rehash 脚本被视为过时，应由 OpenSSL rehash 命令行工具取代。
    已在 OpenSSL 3.0.3 中修复（影响 3.0.0、3.0.1、3.0.2）。已在 OpenSSL 1.1.1o 中修复（影响 1.1.1-1.1.1n）。
    已在 OpenSSL 1.0.2ze 中修复（影响 1.0.2-1.0.2zd）。(CVE-2022-1292)

  - 除了 CVE-2022-1292 中发现的 c_rehash shell 命令注入之外，代码审查还发现了 c_rehash 脚本未正确审查 shell 元字符以防止命令注入的其他情况。修复 CVE-2022-1292 后，未发现脚本中的其他位置可能会将被哈希的证书文件名传递给通过 shell 执行的命令。某些操作系统以自动执行的方式分发此脚本。在此类操作系统中，攻击者可以使用脚本的权限执行任意命令。使用 c_rehash 脚本被视为过时，应由 OpenSSL rehash 命令行工具取代。已在 OpenSSL 3.0.4 中修复（影响 3.0.0、3.0.1、3.0.2、3.0.3）。已在 OpenSSL 1.1.1p 中修复（影响 1.1.1-1.1.1o）。已在 OpenSSL 1.0.2zf 中修复（影响 1.0.2-1.0.2ze）。(CVE-2022-2068)

  - pulp_ansible 的集合远程以纯文本存储标记，而不是使用 pulp 的加密字段，并通过 API () 而将其标记为只写，以读取/写入模式暴露这些标记。(CVE-2022-3644)

  - 在 foreman 中发现一个命令注入缺陷。此缺陷允许具有 foreman 实例管理员权限的经身份验证用户通过模板中的 CoreOS 和 Fedora CoreOS 配置转译命令，可能导致在底层操作系统上执行任意命令。
    (CVE-2022-3874)

  - 在 Python Charmers Future 0.18.2 及更早版本中发现一个问题，远程攻击者可通过来自恶意 Web 服务器的构建的 Set-Cookie 标头造成拒绝服务。(CVE-2022-40899)

  - 在 Satellite 服务器中发现盲目站点到站点请求伪造漏洞。可以通过修改服务器中特定资源的 HTTP 请求中的 Referer 标头，触发与攻击者的服务器的外部交互。(CVE-2022-4130)

  - 攻击者可造成接受 HTTP/2 请求的 Go 服务器内存过度增长。HTTP/2 服务器连接包含客户端发送的 HTTP 标头密钥的缓存。尽管此缓存中的条目总数已上限，但攻击者可发送非常大的密钥，从而导致服务器为每个打开的连接分配大约 64 MiB。(CVE-2022-41717)

  - ActiveRecord 的 PostgreSQL 适配器 < 7.0.4.1 和 < 6.1.7.1 中存在拒绝服务漏洞。向 PostgreSQL 连接适配器提供的 64 位带符号整数范围之外的值时，会将目标列类型视为数值。将整数值与数值进行比较可导致顺序扫描缓慢，从而可能造成拒绝服务。(CVE-2022-44566)

  - Rack >= 1.5.0 的 Range 标头解析组件中存在拒绝服务漏洞。精心构建的输入可导致 Rack 中的 Range 标头解析花费意外的时间，从而可能导致出现拒绝服务攻击向量。任何处理 Range 请求的应用程序（例如流应用程序或提供文件的应用程序）都可能受到影响。 (CVE-2022-44570)

  - Rack 的 Content-Disposition 解析组件中有一个拒绝服务漏洞，已在 2.0.9.2、2.1.4.2、2.2.4.1、3.0.0.1 中修复。这可能让攻击者可以构建输入。从而导致在 Rackto 中解析 Content-Disposition 标头花费意外时长，进而可能导致出现拒绝服务攻击向量。此标头通常用于 Multipart 解析。任何使用 Rack 解析 Multipart Post 的应用程序（几乎所有 Rails 应用程序）都会受到影响。 (CVE-2022-44571)

  - 2.0.9.2、2.1.4.2、2.2.4.1 和 3.0.0.1 中修复的 Rack Multipart 解析组件中的拒绝服务漏洞可允许攻击者构建输入，从而导致在 Rack 中进行 RFC2183 Multipart 边界解析时花费意外时长，进而可能导致拒绝服务攻击向量。任何使用 Rack 解析 Multipart Post 的应用程序（几乎所有 Rails 应用程序）都会受到影响。 (CVE-2022-44572)

  - 在 v1.13.0 之前的 ruby-git 版本中，经认证的远程攻击者可通过让用户将包含特制文件名的存储库加载到产品中来执行任意 ruby 代码。此漏洞与 CVE-2022-47318 不同。(CVE-2022-46648)

  - 在 v1.13.0 之前的 ruby-git 版本中，经认证的远程攻击者可通过让用户将包含特制文件名的存储库加载到产品中来执行任意 ruby 代码。此漏洞与 CVE-2022-46648 不同。(CVE-2022-47318)

  - 在 Foreman 中发现一个任意代码执行缺陷。此缺陷允许管理员用户绕过模板中的安全模式，并在底层操作系统上执行任意代码。(CVE-2023-0118)

  - 在 foreman 中发现存储的跨站脚本漏洞。“主机”选项卡中的“注释”部分对用户输入数据的筛选不正确。攻击的结果是，拥有系统上现有帐户的攻击者可窃取其他用户的会话、代表该用户提出请求，以及取得用户凭据。(CVE-2023-0119)

  - 在 Puppet 服务器 7.9.2 证书验证中发现正则表达式拒绝服务 (ReDoS) 问题。与特制证书名称相关的问题大大减缓了服务器的运行速度。(CVE-2023-1894)

  - Action Dispatch 6.0.6.1 之前版本、6.1.7.1 之前版本和 7.0.4.1 之前版本存在基于正则表达式的 DoS 漏洞。
    特制的 Cookie 与特制的 X_FORWARDED_HOST 标头相结合，可导致正则表达式引擎进入灾难性回溯状态。这会造成进程占用大量 CPU 和内存，可能引致 DoS 漏洞。运行受影响版本的所有用户都应立即升级或使用其中一种变通方案。(CVE-2023-22792)

  - ActiveRecord 6.0.6.1 之前版本、v6.1.7.1 和 v7.0.4.1 存在与评论审查相关的漏洞。
    如果恶意用户输入被传递到 `annotate` 查询方法、`optimizer_hints` 查询方法，或通过自动添加批注的 QueryLogs 介面传递，则其可能会在未经过充分审查的情况下被发送到数据库，并能够在评论外部注入 SQL。(CVE-2023-22794)

  - Action Dispatch 6.1.7.1 之前版本和 7.0.4.1 之前版本存在基于正则表达式的 DoS 漏洞。当使用低于 3.2.0 的 Ruby 版本时，特别构建的 HTTP If-None-Match 标头可导致正则表达式引擎进入灾难性回溯状态。这会造成进程占用大量 CPU 和内存，可能引致 DoS 漏洞。运行受影响版本的所有用户都应立即升级或使用其中一种变通方案。(CVE-2023-22795)

  - Action Support 6.1.7.1 之前版本和 7.0.4.1 之前版本存在基于正则表达式的 DoS 漏洞。传递给下划线方法的特制字符串可导致正则表达式引擎进入灾难性回溯状态。这会造成进程占用大量 CPU 和内存，进而可能导致 DoS 漏洞。(CVE-2023-22796)

  - GlobalID < 1.0.1 中存在一个基于 ReDoS 的 DoS 漏洞，允许攻击者提供精心构建的输入，进而造成正则表达式引擎占用意外时间。所有运行受影响版本的用户应立即升级或使用其中一个变通方案。
    (CVE-2023-22799)

  - 版本低于 v3.0.4.2、v2.2.6.3、<v2.1.4.3 和 <v2.0.9.3 的 Rack 中存在 DoS 漏洞，在 Multipart MIME 解析代码中，此漏洞可能允许攻击者构建要求，此类要求一经滥用，便会导致多部分解析所用的时间超出预期。(CVE-2023-27530)

  - HTTP/1 客户端没有充分验证主机标头的内容。恶意构建的主机标头可以注入其他标头或整个请求。修复后，HTTP/1 客户端现在会拒绝发送包含无效 Request.Host 或 Request.URL.Host 值的请求。(CVE-2023-29406)

  - sqlparse 是用于 Python 的非验证 SQL 解析器模块。在受影响的版本中，SQL 解析器包含易受 ReDoS（正则表达式拒绝服务）攻击的正则表达式。此问题在 commit “e75e358”中有所介绍。该漏洞可能导致拒绝服务 (DoS)。此问题已通过 commit“c457abd5f”在 sqlparse 0.4.4 版中得到修复。建议所有用户都进行升级。目前尚无针对此问题的解决方案。(CVE-2023-30608)

  - 在 Django 3.2 至 3.2.19、4.x 至 4.1.9 和 4.2 至 4.2.1 版中，使用一个表单字段上传多个文件时可以绕过验证。forms.FileField 或 forms.ImageField 从未支持过此多路上传（仅验证最后一个上传的文件）。但是，Django 的“上传多个文件”说明文档另有建议。(CVE-2023-31047)

  - Requests 是一个 HTTP 库。自 Requests 2.3.0 起，当重定向到 HTTPS 端点时，Requests 会一直向目标服务器泄露 Proxy-Authorization 标头。这是我们使用 `rebuild_proxies` 向请求重新附加 `Proxy-Authorization` 标头的结果。对于通过隧道发送的 HTTP 连接，代理将识别请求本身的标头并将其删除，然后再转发到目标服务器。但是，当通过 HTTPS 发送时，由于代理无法查看隧道请求，因而必须在 CONNECT 请求中发送 `Proxy-Authorization` 标头。这会导致 Requests 意外将代理凭据转发到目标服务器，从而允许恶意攻击者泄露敏感信息。已在版本 2.31.0 中修补此问题。
    (CVE-2023-32681)

  - 在 Django 3.2.20 之前的 3.2 版、 4.1.10 之前的 4 版，及 4.2.3之前的 4.2 版中，EmailValidator 和 URLValidator 会通过大量电子邮件和 URL 的域名标签遭受潜在的 ReDoS（正则表达式拒绝服务）攻击。(CVE-2023-36053)

  - 恶意 HTTP/2 客户端如快速创建请求并立即重置请求，可能会导致服务器资源消耗过多。虽然请求总数受到 http2.Server.MaxConcurrentStreams 设置的限制，但重置正在进行的请求允许攻击者在现有请求仍在执行时创建新请求。应用修复程序后，HTTP/2 服务器现在会将同时执行的处理程序 goroutine 的数量绑定到流并发限制 (MaxConcurrentStreams)。达到限制时到达的新请求（这只能在客户端重置目前正在进行的请求之后发生）将排入队列，直到处理程序退出。如果请求队列变得太大，服务器将终止连接。对于手动配置 HTTP/2 的用户，golang.org/x/net/http2 中也修复了此问题。默认的流并发限制为每个 HTTP/2 连接 250 个流（请求）。可以使用 golang.org/x/net/http2 包来调整该值。请参阅 Server.MaxConcurrentStreams 设置和 ConfigureServer 函数。(CVE-2023-39325)

  - 3.1.32 之前的 GitPython 未拦截 clone 和 clone_from 中不安全的非多重选项。注意：存在此问题的原因是对 CVE-2022-24439 的修复不完整。(CVE-2023-40267)

  - HTTP/2 协议允许拒绝服务（服务器资源消耗），因为取消请求即可快速重置许多流，正如在 2023 年 8 月到 2023 年 10 月期间在现实环境中利用的那样。(CVE-2023-44487)

  - Ruby on Rails 公告对此漏洞的描述如下：(CVE-2023-27539)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2024:1878 公告中提及的多个漏洞影响。

    Red Hat Update Infrastructure (RHUI) 提供高度可扩展、高度冗余的框架，以便您管理存储库和内容。它还能使云提供商向 Red Hat Enterprise Linux (RHEL) 实例提供内容和更新。

    安全修复：

    * python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

    * python-aiohttp：通过 llhttp HTTP 请求解析器触发的 HTTP 请求走私漏洞 (CVE-2023-37276)

    * python-django：``django.utils.encoding.uri_to_iri()`` 中潜在的拒绝服务漏洞 (CVE-2023-41164)

    * python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)

    * python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

    * aiohttp：HTTP 请求修改 (CVE-2023-49081)

    * python-cryptography：加载 PKCS7 证书时发生空取消引用 (CVE-2023-49083)

    * jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

    * aiohttp：follow_symlinks 目录遍历漏洞 (CVE-2024-23334)

    * python-ecdsa：容易受到 Minerva 攻击 (CVE-2024-23342)

    * python-aiohttp：http 请求走私 (CVE-2024-23829)

    * Django：“intcomma”筛选器遭到拒绝服务攻击 (CVE-2024-24680)

    * python-django：django.utils.text.Truncator.words() 可能会发生正则表达式拒绝服务 (CVE-2024-27351)

    * aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)

    此 RHUI 更新修复以下错误：

    * 由于使用 distutils，RHEL 8.10 Beta 上的 rhui-installer 失败。此问题已通过更新到不使用 distutils 的更新版本的 ansible-collection-community-crypto 得以解决。

    此 RHUI 更新引入了以下增强：

    * 当首次运行或随时重新运行 RHUI 安装程序或时，本机 Ansible 模块现在用于更新 RHUA 服务器上的程序包。在 rhui-installer 命令行上使用 --ignore-newer-rhel-packages 标记可防止进行此更新。

    * PulpCore 已更新到版本 3.39。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11/12 主机上安装的多个程序包受到 dsa-5465 公告中提及的多个漏洞影响。

  - 在 3.2 至 3.2.17、4.0 至 4.0.9 和 4.1 至 4.1.6 版的 Django 中，Accept-Language 标头的解析值会被缓存以避免重复解析。如果 Accept-Language 标头的原始值非常大，则可能会通过过量使用内存导致拒绝服务矢量。
    (CVE-2023-23969)

  - 在低于 3.2.18 的 3.2、低于 4.0.10 的 4.0 以及低于 4.1.7 的 4.1 版 Django 中，在多部分申请解析器中发现一个问题。将某些输入（例如，过多的部分）传递到多部分表单可导致过多打开的文件或内存耗尽，并可能为拒绝服务攻击提供载体。(CVE-2023-24580)

  - 在 Django 3.2 至 3.2.19、4.x 至 4.1.9 和 4.2 至 4.2.1 版中，使用一个表单字段上传多个文件时可以绕过验证。forms.FileField 或 forms.ImageField 从未支持过此多路上传（仅验证最后一个上传的文件）。但是，Django 的“上传多个文件”说明文档另有建议。(CVE-2023-31047)

  - 在 Django 3.2.20 之前的 3.2 版、 4.1.10 之前的 4 版，及 4.2.3之前的 4.2 版中，EmailValidator 和 URLValidator 会通过大量电子邮件和 URL 的域名标签遭受潜在的 ReDoS（正则表达式拒绝服务）攻击。(CVE-2023-36053)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 ESM 主机上安装的多个程序包受到 USN-6203-2 公告中提及的一个漏洞影响。

    USN-6203-1 修复了 Django 中的一个漏洞。此更新提供针对 Ubuntu 18.04 ESM 的相应更新。



Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2023:4693 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：
    * automation-eda-controller：导入项目时暴露的令牌 (CVE-2023-4380)
    * python3-cryptography/python39-cryptography：通过不可变对象造成内存损坏 (CVE-2023-23931)
    * python3-django/python39-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)
    * python3-requests/python39-requests：Proxy-Authorization 标头发生意外泄漏 (CVE-2023-32681)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    针对事件驱动型 Ansible 所作的其他更改：
    * automation-eda-controller 已更新到 1.0.1
    * 贡献者和编辑者角色现在可以访问用户并设置 AWX 令牌。(AAP-11573)
    * 激活向导现在请求创建控制器令牌。(AAP-11907)
    * 修正了“规则审核”屏幕的筛选功能，以便搜索产生包含 startwith 函数的结果。(AAP-11987)
    * 启用或禁用 rulebook 激活不再导致重新启动计数器增加 1。(AAP-12042)
    * 现在，按文本字符串进行筛选后，UI 中会显示所有适用的项目，包括当时在列表中不可见的项目。(AAP-12446)
    * 运行包含多个作业的激活时，审核记录不再缺失。(AAP-12522)
    * 作业模板失败时，事件负载不再缺少密钥属性。(AAP-12529)
    * 修复了导入项目失败时发生的 Git 令牌泄漏。(AAP-12767)
    * Kubernetes (k8s) 中的重新启动策略现在会重新启动被错误标记为失败的成功激活。(AAP-12862)
    * 无论您是禁用还是启用激活状态，系统现在都可以正确报告激活状态。(AAP-12896)
    * 现在，如果 run_job_template 操作失败，ansible-rulebook 会在激活输出中打印错误日志，并在规则审核中创建一个条目，以便提醒用户规则运用失败。(AAP-12909)
    * 当用户尝试从列表中批量删除 rulebook 激活时，请求现在会成功且一致地完成。(AAP-13093)
    *“Rulebook 激活”链接现在可在规则审核详细信息 UI 中正常工作。(AAP-13182)
    * 修复以下错误：如果在 rulebook 不需要使用控制器的情况下发生控制器连接失败，ansible-rulebook 则会阻止执行。(AAP-13209)
    * 修复了以下错误：某些审核规则记录的 rulebook 链接错误。(AAP-13844)
    * 修复了以下错误：仅前 10 条审核规则的链接正确。(AAP-13845)
    * 之前，如果项目中使用的凭据发生变更，则无法更新项目凭据。现在，如果项目使用新凭据或不同凭据，则可以进行更新。(AAP-13983)
    * 在创建决策环境之后，导航面板的“用户访问权限”部分不再消失。(AAP-14273)
    * 修复了以下错误：筛选审核规则功能在 OpenShift Container Platform 上无法正常工作。
    (AAP-14512)

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2023:5931 公告中提及的多个漏洞影响。

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-1292)

  - openssl：c_rehash 脚本允许命令注入 (CVE-2022-2068)

  - foreman：通过 ct_command 和 fcct_command 注入 OS 命令 (CVE-2022-3874)

  - GitPython：不正确的用户输入验证导致 RCE (CVE-2022-24439)

  - ruby-git：修复代码注入漏洞 (CVE-2022-46648、CVE-2022-47318)

  - Satellite/Foreman：通过 yaml 全局参数执行任意代码 (CVE-2023-0462)

  - OpenSSL：检查 DH q 参数值所用的时间过多 (CVE-2023-3817)

  - python-django：使用一个表单字段上传多个文件时可能绕过验证 (CVE-2023-31047)

  - python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

  - golang：net/http、x/net/http2：快速流重置可能会导致过多工作 (CVE-2023-44487) (CVE-2023-39325)

  - GitPython：未拦截 clone 和 clone_from 中不安全的非多重选项 (CVE-2023-40267)

  - HTTP/2：多个启用了 HTTP/2 的 Web 服务器容易遭受 DDoS 攻击（快速重置攻击）(CVE-2023-44487)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
194322	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2023:4692)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	high
189078	RHEL 9：Red Hat OpenStack Platform 17.1 (python-django) (RHSA-2024: 0212)	Nessus	Red Hat Local Security Checks	2024/1/16	2024/11/7	high
194436	RHEL 8：Satellite 6.14 (RHSA-2023:6818)	Nessus	Red Hat Local Security Checks	2024/4/29	2024/11/7	critical
177999	Ubuntu 20.04 LTS/22.04 LTS/23.04：Django 漏洞 (USN-6203-1)	Nessus	Ubuntu Local Security Checks	2023/7/5	2024/8/27	high
178480	Debian DLA-3500-1：python-django - LTS 安全更新	Nessus	Debian Local Security Checks	2023/7/19	2025/1/22	high
185473	Rocky Linux 8：Satellite 6.14 (RLSA-2023:6818)	Nessus	Rocky Linux Local Security Checks	2023/11/11	2024/2/9	critical
193467	RHEL 8：RHUI 4.8 版本 - 安全更新、缺陷修复和增强（中危）(RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/11/7	critical
179346	Debian DSA-5465-1：python-django - 安全更新	Nessus	Debian Local Security Checks	2023/8/4	2025/1/24	critical
178779	Ubuntu 18.04 ESM：Django 漏洞 (USN-6203-2)	Nessus	Ubuntu Local Security Checks	2023/7/25	2024/10/29	high
194297	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2023:4693)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical
194378	RHEL 8：Satellite 6.13.5 异步安全更新（重要）(RHSA-2023:5931)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/7	critical

检测

插件搜索

high

high

critical

high

high

critical

critical

critical

high

critical

critical