远程 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主机上安装的一个程序包受到 USN-7642-1 公告中提及的多个漏洞影响。

    Ben Kallus 发现 AIOHTTP 未正确解析 HTTP 标头。远程攻击者可能利用此问题执行请求走私。此问题仅影响 Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-47627)

    Ivan Novikov 发现 AIOHTTP 未正确验证某些输入。远程攻击者可能利用此问题执行请求走私。此问题仅影响 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-49081, CVE-2023-49082)

    Paul J. Dorn 发现 AIOHTTP 未正确验证某些输入。远程攻击者可能利用此问题执行请求走私。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-23829)

    Takeshi Kaneko 发现 AIOHTTP 未正确审查某些输入。远程攻击者可能利用此问题执行跨站脚本 (XSS) 攻击。(CVE-2024-27306)

    据发现，AIOHTTP 未正确处理某些 POST 请求。远程攻击者可能利用此问题造成拒绝服务。此问题仅影响 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-30251)

    Jeppe Bonde Weikop 发现 AIOHTTP 未正确处理某些输入中的解析新行。远程攻击者可能利用此问题执行请求走私。(CVE-2024-52304)

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程主机上安装的 aioHTTP 版本低于 3.10.11。因此，它受到请求走私漏洞的影响。aiohttp 是适用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。低于版本 3.10.11 的 Python 解析器无法正确解析区块扩展中的换行符，这在某些情况下可能导致请求走私漏洞。如果安装了 aiohttp 的纯 Python 版本（即没有常见的 C 扩展）或启用了“AIOHTTP_NO_EXTENSIONS”，攻击者可能可以执行请求走私攻击以绕过某些防火墙或代理保护。版本 3.10.11 修复了该问题。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2024:11574 公告中提及的漏洞影响。

    Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

    安全修复：

    * aiohttp：aiohttp 容易遭受请求走私攻击，这是错误解析区块扩展所导致 (CVE-2024-52304)

    建议 Red Hat Satellite 用户升级至这些更新后的程序包，其中修复了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Debian 11 主机上安装的多个程序包受到 dla-4041 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4041-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 2 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：python-aiohttp 版本：3.7.4-1+deb11u1 CVE ID：CVE-2023-47627 CVE-2023-47641 CVE-2023-49081 CVE-2023-49082 CVE-2024-23334 CVE-2024-23829 CVE-2024-27306 CVE-2024-30251 CVE-2024-52304 Debian 缺陷：

    aiohttp 是用于 asyncio 和 Python 的异步 HTTP 客户端/服务器框架。目前发现 aiohttp 中有若干问题，这些问题与 HTTP 解析器、链接遍历和索引页面上的 XSS 有关。

    CVE-2023-47627

         AIOHTTP 中的 HTTP 解析器存在大量标头解析问题，这些问题可导致请求走私。仅在启用 AIOHTTP_NO_EXTENSIONS（或不使用预构建的 wheel）的情况下才使用此解析器。

    CVE-2023-47641

        受影响的 aiohttp 版本存在与不一致的 HTTP 协议解释有关的安全漏洞。HTTP/1.1 是持久性协议，如果同时存在 Content-Length(CL) 和 Transfer-Encoding(TE) 标头值，则此漏洞可能会导致解析 HTTP 的两个实体的解释不正确，我们可以利用此错误解析来毒化其他套接字。可能的概念验证 (POC) 是配置同时接受 CL 和 TE 标头的反向代理（前端）并使用 aiohttp 作为后端。aiohttp 会解析任何具有 chunked 的内容，因此我们可以将 chunked123 作为 TE 传递，前端实体会忽略此标头并解析 Content-Length。此漏洞的影响在于：它可能会绕过任何代理规则，使套接字中毒（例如传递身份验证标头），如果同时存在开放重定向漏洞，则攻击者可将两者结合将任意用户重定向至其他网站并记录此请求。

    CVE-2023-49081

        不当验证使攻击者可以修改 HTTP 请求（例如插入新标头），或在攻击者控制 HTTP 版本的情况下创建新的 HTTP 请求。仅当攻击者可以控制请求的 HTTP 版本时，才会产生此漏洞。

    CVE-2023-49082

        不当验证使攻击者可以修改 HTTP 请求（例如插入新标头），或在攻击者控制 HTTP 方法的情况下创建新的 HTTP 请求。仅当攻击者可以控制请求的 HTTP 方法（GET、POST 等）时，才会产生此漏洞。如果攻击者可以控制请求的 HTTP 版本，则能够修改此请求（请求走私）。

    CVE-2024-23334

        将 aiohttp 用作 Web 服务器并配置静态路由时，需要指定静态文件的根路径。
        此外，“follow_symlinks”选项可用于确定是否跟随静态根目录以外的符号链接。
        当“follow_symlinks”设置为 True 时，程序不会验证读取的文件是否在根目录内。这可能导致目录遍历漏洞，造成用户可在未经授权的情况下访问系统上的任意文件，即使在没有符号链接的情况下亦然。建议使用的缓解措施是禁用 follow_symlinks 并使用反向代理。

    CVE-2024-23829

        Python HTTP 解析器的安全性敏感部分在允许的字符集中保留了轻微差异，必须触发错误处理才能稳定地匹配代理的帧边界，从而防止注入其他请求。此外，验证可触发异常，但这些异常的处理方式与其他格式错误的输入不一致。比互联网标准的要求宽松可以协助请求走私，具体取决于部署环境。未处理的异常会造成应用程序服务器和/或其日志记录设施过量消耗资源。

    CVE-2024-27306

        用于处理静态文件的索引页面上存在 XSS 漏洞。

    CVE-2024-30251

         在受影响的版本中，攻击者可发送特别构建的 POST (multipart/form-data) 请求。当 aiohttp 服务器处理该请求时，服务器将进入无限循环，且无法处理任何进一步请求。攻击者可在发送单个请求后阻止应用程序处理请求。

    CVE-2024-52304

        Python 解析器无法正确解析区块扩展中的换行符，这在某些情况下可能导致请求走私漏洞。如果安装了纯 Python 版本的 aiohttp（即
        没有常见的 C 扩展）或启用了“AIOHTTP_NO_EXTENSIONS”，攻击者或许可以执行请求走私攻击，以绕过某些防火墙或代理保护。

    对于 Debian 11 bullseye，这些问题已在 3.7.4-1+deb11u1 版本中修复。

    我们建议您升级 python-aiohttp 程序包。

    如需了解 python-aiohttp 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2024:10766 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * automation-controller：aiohttp 容易遭受请求走私攻击，这是错误解析区块扩展所导致 (CVE-2024-52304)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、知晓，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    自动化控制器
    * 修复当 rrule 间隔设置为 HOURLY 或 MINUTELY 时会在错误时间运行的作业计划 (AAP-36572)
    * 修复不相关的作业可被标记为其他作业的依赖项这一错误 (AAP-35309)
    * 在默认的 containergroup pod 规范中包括 pod 反关联性配置以最佳方式分布工作负载 (AAP-35055)
    * 更新了 uWSGI 的次要版本以获取更新后的日志冗长 (AAP-33169)
    * automation-controller 已更新至 4.6.3

    Receptor
    * 修复了会导致 Receptor 运行时错误的问题 (AAP-36476)
    * 已将 receptor 更新为 1.5.1

    基于容器的 Ansible Automation Platform
    * 更新后，无法在使用托管数据库节点时更改 postgresql_admin_username 的值 (AAP-36577)
    * 添加了对 PCP 监控角色的更新支持 (AAP-36576)
    * 更新后，系统会使用容器映像中的 ID 和 Image 字段（而非 Digest 和 ImageDigest）来触发容器更新 (AAP-36575)
    * 禁用了代理配置中的平台网关认证，以防止在控制平面关闭时出现 HTTP 502 错误 (AAP-36484)
    * 更新后，您可以为 Redis 组使用专用节点 (AAP-36480)
    * 修复了在 Automation Gateway 上禁用 TLS 会造成安装失败的问题 (AAP-35966)
    * 修复了卸载平台网关时将容器 systemd 单元文件留在磁盘上的问题 (AAP-35329)
    * 修复了在 Automation Gateway 代理上禁用 TLS 会造成安装失败的问题 (AAP-35145)
    * 通过此更新，现在可更新事件驱动的 Ansible 凭据中的注册表 URL 值 (AAP-35085)
    * 修复了当 hub_collection_signing=false but hub_container_signing=true 时，自动化中心容器签名服务创建失败的问题 (AAP-34977)
    * 修复了接收器容器的 HOME 环境变量问题，该问题会造成在容器化执行节点上出现权限被拒绝错误 (AAP-34945)
    * 修复了配置多个 hub 节点时会错误设置 GPG 代理套接字的问题，此问题会导致系统未在 /var/tmp/pulp 中创建 GPG 套接字文件 (AAP-34815)
    * 通过此更新，您现在可以在初始部署之后更改自动化网关端口值 (AAP-34813)
    * 通过此更新，在内存配置较大的系统上增加了 kernel.keys.maxkeys 和 kernel.keys.maxbytes 设置 (AAP-34019)
    * 向 inventory-growth 文件添加了 ansible_connection=local 并阐明了其用法 (AAP-34016)
    * 容器化安装程序设置已更新为 2.5-6

    基于 RPM 的 Ansible Automation Platform
    * 现在可使用“receptor_datadir”变量来配置接收器数据目录 (AAP-36697)
    * 禁用了代理配置中的平台网关认证，以允许在控制平面关闭时访问 UI (AAP-36667)
    * 修复了 metrics-utility 命令在更新自动化控制器后无法运行的问题 (AAP-36486)
    * 修复了数据库发生中断几分钟后，调度程序服务进入 FATAL 状态并且无法处理新作业的问题 (AAP-36457)
    * 修复了 /etc/tower/uwsgi.ini 文件的所有者和群组权限 (AAP-35765)
    * 通过此更新，现在可更新事件驱动的 Ansible 凭据中的注册表 URL 值 (AAP-35162)
    * 修复了 inventory 文件中没有定义 eda_node_type 会导致备份失败的问题 (AAP-34730)
    * 修复了 inventory 文件中没有定义 routable_hostname 会导致恢复失败的问题 (AAP-34563)
    * 通过此更新，ansible-automation-platform-installer 中现在包含 inventory-growth 文件 (AAP-33944)
    * ansible-automation-platform-installer 和安装程序设置已更新为 2.5-6

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2025:0340 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：
    * automation-controller：Oracle 上的 HasKey(lhs, rhs) 中可能包含 SQL 注入漏洞 (CVE-2024-53908)
    * automation-controller：django.utils.html.strip_tags() 中存在潜在的拒绝服务漏洞 (CVE-2024-53907)
    * automation-controller：通过 gRPC-C++ 中的数据损坏造成拒绝服务 (CVE-2024-11407)
    * automation-gateway：nanoid 错误处理非整数值 (CVE-2024-55565)
    * python3.11-aiohttp：aiohttp 容易遭受请求走私攻击，这是错误解析区块扩展所导致 (CVE-2024-52304)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    平台
    * 修复了在表单向导中导航时偶尔发生的“未找到”错误 (AAP-37495)
    * 修复了 ID_KEY 属性不当用于确定社交认证管道中的用户名字段的问题 (AAP-38300)
    * 修复了 X-DAB-JW-TOKEN 标头消息可能淹没日志的问题 (AAP-38169)
    * 修复了身份验证器可创建用户 ID 并返回无效 authenticator_uid 的问题 (AAP-38021)
    * 将状态 API /api/gateway/v1/status/ 从 JSON 中的服务属性增强为数组 (AAP-37903)
    * 修复了下载 OpenAPI 方案文件时私钥以纯文本显示的问题。
    注意：这不是网关使用的私钥，而是随机默认密钥 (AAP-37843)

    自动化控制器
    * 添加了“job_lifecycle”作为记录器中发送至外部的选项，并向与作业相关的日志添加了“organization_id”字段 (AAP-37537)
    * 修复了来自“host_metric_summary_monthly”任务的回溯的日期比较不匹配 (AAP-37487)
    * 修复了 count 设置为非零值的计划作业，使其不再意外运行 (AAP-37290)
    * 修复了通过网关对“/api/controller/login/”进行的 POST 操作，以便不再导致致命错误 (AAP-37235)
    * 修复了项目的“requirements.yml”的行为，以不再恢复到群集中的先前状态 (AAP-37228)
    * 修复了当快速启动大量作业时，需要先创建事件分区表，再启动作业的偶尔发生的错误 (AAP-37227)
    * 修复了 named URL，以便在启动作业模板时不再返回 404 错误代码 (AAP-37025)
    * 更新了 receptor，以在节点上完成作业后清理临时 receptor 文件 (AAP-36904)
    * 修复了通过网关对“/api/controller/login/”进行的 POST 操作，以便不再导致致命错误 (AAP-33911)
    * automation-controller 已更新至 4.6.6

    基于容器的 Ansible Automation Platform
    * 修复了为增长清单提供的清单文件示例可导致安装在低资源系统中停止的问题 (AAP-38372)
    * 修复了增长拓扑安装中的控制器的节流容量会允许性能降低的问题 (AAP-38207)
    * 修复了在预检角色执行期间未验证接收器 TLS 证书内容，以确保 x509 主题备选名称 (SAN) 字段包含所需的 ISO 对象标识符 (OID) 的问题 (AAP-37880)
    * 现在会在预检角色执行期间验证 TLS 证书和密钥文件 (AAP-37845)
    * 修复了预检角色执行期间 Postgresql SSL 模式变量未经验证的问题 (AAP-37352)
    * 容器化安装程序设置已更新为 2.5-8

    基于 RPM 的 Ansible Automation Platform
    * 修复了向升级后的环境添加新的自动化中心主机已导致安装失败的问题 (AAP-38204)
    * 修复了安装程序 README.md 中的文档链接损坏的问题 (AAP-37627)
    * 更新了 nginx 配置，为事件驱动型 Ansible 事件流服务正确返回 API 状态 (AAP-32816)
    * ansible-automation-platform-installer 和安装程序设置已更新为 2.5-7

    更多变更：
    * 在 RHEL 8 上安装 ansible-core 时不再安装 python3-jmespath (AAP-18251)
    * ansible-core 已更新到 2.16.14-2
    * 已将 automation-gateway 更新为 2.5.20250115
    * 已将 python3.11-aiohttp 及其依赖项更新至 3.10.11 
    * 已将 python3.11-django-ansible-base 更新为 2.5.20250115
    * python3.11-galaxy-importer 已更新到 0.4.27
    * 已将 python3.11-pulpcore 更新至 3.49.29

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
242337	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS：AIOHTTP 漏洞 (USN-7642-1)	Nessus	Ubuntu Local Security Checks	2025/7/18	2025/7/18	medium
211645	aioHTTP < 3.10.11 请求走私	Nessus	Misc.	2024/11/20	2025/8/19	low
213265	RHEL 8 / 9Satellite 6.16.1 异步更新中等(RHSA-2024:11574)	Nessus	Red Hat Local Security Checks	2024/12/19	2025/8/18	low
214900	Debian dla-4041：python-aiohttp-doc - 安全更新	Nessus	Debian Local Security Checks	2025/2/3	2025/8/18	medium
212045	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（中危）(RHSA-2024:10766)	Nessus	Red Hat Local Security Checks	2024/12/4	2025/8/18	low
214232	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（重要）(RHSA-2025:0340)	Nessus	Red Hat Local Security Checks	2025/1/15	2025/8/18	medium

检测

插件搜索

medium

low

low

medium

low

medium