远程 Redhat Enterprise Linux 9 主机上安装的一个程序包受到 RHSA-2024:9977 公告中提及的一个漏洞影响。

    与 pathlib 兼容的 Zipfile 对象封装程序。向后移植 Path 对象。

    安全修复：

    * 通过 jaraco/zipp 中构建的 zip 文件导致拒绝服务（无限循环）(CVE-2024-5569)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2024:6428 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * automation-controller：Django：QuerySet.values() 和 values_list() 中存在潜在的 SQL 注入漏洞 (CVE-2024-42005)
    * automation-controller：Django：django.utils.html.urlize() 和 AdminURLFieldWidget 中存在潜在的拒绝服务漏洞 (CVE-2024-41991)
    * automation-controller：Django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-41990)
    * automation-controller：python-jose：与 OpenSSH ECDSA 密钥及其他密钥格式的算法混淆 (CVE-2024-33663)
    * automation-controller：python-social-auth：对 social-auth-app-django 中的大小写敏感处理不当 (CVE-2024-32879)
    * automation-controller：通过使用容器组执行作业，获得对 k8s API 服务器的访问权限 (CVE-2024-6840)
    * python3/python39-django：QuerySet.values() 和 values_list() 中存在潜在的 SQL 注入漏洞 (CVE-2024-42005)
    * python3/python39-django：django.utils.html.urlize() 和 AdminURLFieldWidget 中存在潜在的拒绝服务漏洞 (CVE-2024-41991)
    * python3/python39-django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-41990)
    * python3/python39-django：django.utils.numberformat.floatformat() 中存在内存耗尽漏洞 (CVE-2024-41989)
    * python3/python39-django：django.utils.translation.get_supported_language_variant() 中存在潜在的拒绝服务漏洞 (CVE-2024-39614)
    * python3/python39-django：django.core.files.storage.Storage.save() 中存在潜在的目录遍历漏洞 (CVE-2024-39330)
    * python3/python39-django：通过时间差异对具有不可用密码的用户进行用户名枚举 (CVE-2024-39329)
    * python3/python39-django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-38875)
    * python3/python39-grpcio：与 HTTP/2 代理通信的客户端可使代理和后端之间的 HPACK 表中毒 (CVE-2024-7246)
    * python3/python39-zipp：通过构建的 zip 文件造成拒绝服务（无限循环）(CVE-2024-5569)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    针对自动化控制器的更新和修复：
    * 更新了接收器，在 RECEPTOR_KEEP_WORK_ON_ERROR 设置为 true 时不会自动释放接收器工作单位 (AAP-27635)
    * 更新了 REST API 中的帮助链接，以指向最新的 API 参考文档 (AAP-27573)
    * 修复了尝试加载 Activity Stream 时 UI 中的超时错误 (AAP-26772)
    * automation-controller 已更新至 4.5.10

    针对自动化中心的更新和修复：
    * API 浏览器现在会正确转义 JSON 值（AAH-3272，AAP-14463）
    * python3/python39-pulpcore 已更新到 3.28.31
    * python3/python39-pulp-ansible 已更新到 0.20.8

    其他修复：
    * 检查或应用更新时，Gunicorn python 程序包将不再自我淘汰 (AAP-28364)
    * python3/python39-django 已更新到 4.2.15
    * python3/python39-grpcio 已更新到 1.58.3
    * python3/python39-jmespath 已更新到 0.10.0-5
    * python3/python39-zipp 已更新到 3.19.2

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依靠应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8 / 9 主机上安装的多个程序包受到 RHSA-2024:8232 公告中提及的多个漏洞影响。

    Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。

    此公告含有适用于 Red Hat OpenShift Container Platform 4.17.2 版的 RPM 程序包。请参阅此版本之容器图像的下列公告：

    https://access.redhat.com/errata/RHSA-2024:8229

    安全修复：

    * encoding/gob：golang：对包含深度嵌套结构的消息调用 Decoder.Decode 可导致堆栈耗尽，进而造成错误 (CVE-2024-34156)
    * github.com/jaraco/zipp：通过 jaraco/zipp 中构建的 zip 文件导致拒绝服务（无限循环）(CVE-2024-5569)
    * go/parser：golang：调用任何包含深度嵌套文字的 Parse 函数都可导致错误/堆栈耗尽 (CVE-2024-34155)
    * go/build/constraint：golang：对包含深度嵌套表达式的“// +build”构建标记行调用 Parse 可导致堆栈耗尽，进而造成错误 (CVE-2024-34158)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    如果相应的发布渠道中提供更新版的程序包和镜像，建议所有 OpenShift Container Platform 4.17 用户进行升级。要检查可用的更新，请使用 OpenShift CLI (oc) 或 Web 控制台。有关升级群集的说明，请访问 https://docs.openshift.com/container-platform/4.17/updating/updating_a_cluster/updating-cluster-cli.html

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2024:8418 公告中提及的多个漏洞影响。

    Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。

    此公告含有适用于 Red Hat OpenShift Container Platform 4.16.19 版的 RPM 程序包。请参阅此版本之容器图像的下列公告：

    https://access.redhat.com/errata/RHSA-2024:8418安全修复：

    * github.com/jaraco/zipp：通过 jaraco/zipp 中构建的 zip 文件导致拒绝服务（无限循环）(CVE-2024-5569)
    * Podman：Buildah：CRI-O：容器/存储库中的符号链接遍历漏洞可造成拒绝服务 (DoS) (CVE-2024-9676)
    * golang：net/netip：Is 方法中用于映射 IPv4 的 IPv6 地址的意外行为 (CVE-2024-24790)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    如果相应的发布渠道中提供更新版的程序包和镜像，建议所有 OpenShift Container Platform 4.16 用户进行升级。要检查可用的更新，请使用 OpenShift CLI (oc) 或 Web 控制台。有关升级群集的说明，请访问 https://docs.openshift.com/container-platform/4.16/updating/updating_a_cluster/updating-cluster-cli.html

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的一个程序包受到 ELSA-2025-38828 公告中提及的一个漏洞影响。

    [3.20.1-2]
    - 使程序包可针对 epel>=9 构建

    [3.20.1-1]
    - 更新到 3.20.1 (rhbz#2307990)

    [3.20.0-1]
    - 更新到 3.20.0 (rhbz#2304028)

    [3.19.2-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_41_Mass_Rebuild 重建

    [3.19.2-2]
    - 针对 Python 重建 3.13

    [3.19.2-1]
    - 更新到 3.19.2 (rhbz#2290429)

    [3.19.1-1]
    - 更新到 3.19.1 (rhbz#2284137)

    [3.19.0-1]
    - 更新到 3.19.0 (rhbz#2283322)

    [3.18.1-1]
    - 更新到 3.18.1 (rhbz#2269634)

    [3.18.0-1]
    - 更新到 3.18.0 (rhbz#2269300)

    [3.17.0-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-2]
    - 已针对 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-1]
    - 更新到 3.17.0 (rhbz#2239492)

    [3.16.2-2]
    - 已针对 https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild 重建

    [3.16.2-1]
    - 更新到 3.16.2 (rhbz#2221413)SPDX 许可证

    [3.15.0-2]
    - 针对 Python 重建 3.12

    [3.15.0-1]
    - 更新到 3.15.0 (rhbz#2173260)

    [3.14.0-1]
    - 更新到 3.14.0 (rhbz#2171124)

    [3.13.0-1]
    - 更新到 3.13.0 (rhbz#2168671)

    [3.12.1-1]
    - 更新到 3.12.1 (rhbz#2167196)

    [3.12.0-1]
    - 更新到 3.12.0 (rhbz#2165156)

    [3.11.0-2]
    - 已针对 https://fedoraproject.org/wiki/Fedora_38_Mass_Rebuild 重建

    [3.11.0-1]
    - 更新到 3.11.0 (rhbz#2148541)

    [3.10.0-1]
    - 更新至 3.10.0 解决：rhbz#2137172

    [3.9.1-1]
    - 更新至 3.9.1 解决：rhbz#2137172

    [3.9.0-1]
    - 更新至 3.9.0 已解决：rhbz#2133213

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 20.04 LTS / 22.04 LTS / 24.04 LTS 主机上安装的程序包受到 USN-6906-1 公告中提及的漏洞的影响。

    据发现，python-zipp 未正确处理具有非法畸形名称的 zip 文件。
    攻击者可能会利用此问题发起拒绝服务攻击。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

因此，该应用程序受到 ALAS2023-2024-653 公告中提及的一个漏洞影响。

    jaraco/zipp 库中存在拒绝服务 (DoS) 漏洞，此漏洞会影响 3.19.1 之前的所有版本。当处理特制的 zip 文件时会触发该漏洞，进而导致无限循环。此问题也会影响 CPython 的 zipfile 模块，因为来自第三方 zipp 库的功能稍后会合并到 CPython 中，并且两个项目中受影响的代码是相同的。通过使用影响 zipp 和 zipfile 中“Path”模块的函数可触发无限循环，例如“joinpath”、过载的除法运算符和“iterdir”。尽管无限循环不会耗尽资源，但它会阻止应用程序响应。该漏洞已在 jaraco/zipp 3.19.1 版本中解决。(CVE-2024-5569)

Tenable 已直接从测试产品的安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Oracle Linux 9 主机上安装的一个程序包受到 ELSA-2025-20533 公告中提及的一个漏洞影响。

    [3.20.1-2]
    - 使程序包可针对 epel>=9 构建

    [3.20.1-1]
    - 更新到 3.20.1 (rhbz#2307990)

    [3.20.0-1]
    - 更新到 3.20.0 (rhbz#2304028)

    [3.19.2-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_41_Mass_Rebuild 重建

    [3.19.2-2]
    - 针对 Python 重建 3.13

    [3.19.2-1]
    - 更新到 3.19.2 (rhbz#2290429)

    [3.19.1-1]
    - 更新到 3.19.1 (rhbz#2284137)

    [3.19.0-1]
    - 更新到 3.19.0 (rhbz#2283322)

    [3.18.1-1]
    - 更新到 3.18.1 (rhbz#2269634)

    [3.18.0-1]
    - 更新到 3.18.0 (rhbz#2269300)

    [3.17.0-3]
    - 已针对 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-2]
    - 已针对 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-1]
    - 更新到 3.17.0 (rhbz#2239492)

    [3.16.2-2]
    - 已针对 https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild 重建

    [3.16.2-1]
    - 更新到 3.16.2 (rhbz#2221413)SPDX 许可证

    [3.15.0-2]
    - 针对 Python 重建 3.12

    [3.15.0-1]
    - 更新到 3.15.0 (rhbz#2173260)

    [3.14.0-1]
    - 更新到 3.14.0 (rhbz#2171124)

    [3.13.0-1]
    - 更新到 3.13.0 (rhbz#2168671)

    [3.12.1-1]
    - 更新到 3.12.1 (rhbz#2167196)

    [3.12.0-1]
    - 更新到 3.12.0 (rhbz#2165156)

    [3.11.0-2]
    - 已针对 https://fedoraproject.org/wiki/Fedora_38_Mass_Rebuild 重建

    [3.11.0-1]
    - 更新到 3.11.0 (rhbz#2148541)

    [3.10.0-1]
    - 更新至 3.10.0 解决：rhbz#2137172

    [3.9.1-1]
    - 更新至 3.9.1 解决：rhbz#2137172

    [3.9.0-1]
    - 更新至 3.9.0 已解决：rhbz#2133213

Tenable 已直接从 Oracle Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - jaraco/zipp 库中存在拒绝服务 (DoS) 漏洞，会影响 3.19.1之前的所有版本。当处理特制的 zip 文件时会触发该漏洞，进而导致无限循环。此问题也会影响 CPython 的 zipfile 模块，因为来自第三方 zipp 库的功能稍后会合并到 CPython 中，并且两个项目中受影响的代码是相同的。通过使用影响 zipp 和 zipfile 中“Path”模块的函数可触发无限循环，例如“joinpath”、过载的除法运算符和“iterdir”。尽管无限循环不会耗尽资源，但它会阻止应用程序响应。该漏洞已在 jaraco/zipp 3.19.1 版本中解决。(CVE-2024-5569)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2024:8906 公告中提及的多个漏洞的影响。

    Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

    安全修复：

    * mosquitto：发送特定序列的数据包可触发内存泄漏 (CVE-2024-8376)
    * micromatch：易受正则表达式拒绝服务影响 (CVE-2024-4067) urllib3：跨源重定向期间未剥离 proxy-authorization 请求标头 (CVE-2024-37891)
    * node-tar：由于缺少文件夹深度验证而导致解析 tar 文件时的拒绝服务（CVE-2024-28863）
    * python-django：django.utils.html.urlize() 中存在潜在的拒绝服务漏洞 (CVE-2024-38875)
    * python-django：通过时间差异对具有不可用密码的用户进行用户名枚举 (CVE-2024-39329)
    * python-django：django.core.files.storage.Storage.save() 中存在潜在的目录遍历漏洞 (CVE-2024-39330)
    * python-django：django.utils.translation.get_supported_language_variant() 中存在潜在的拒绝服务漏洞 (CVE-2024-39614)
    * github.com/jaraco/zipp：通过 jaraco/zipp 中构建的 zip 文件导致拒绝服务（无限循环）(CVE-2024-5569)
    * puppet-foreman：Foreman 中存在身份验证绕过漏洞 (CVE-2024-7012)
    * python-django：QuerySet.values() 和 values_list() 中存在潜在的 SQL 注入漏洞 (CVE-2024-42005)
    * grpc：与 HTTP/2 代理通信的客户端可使代理和后端之间的 HPACK 表中毒 (CVE-2024-7246)
    * puppet-pulpcore：pulpcore 中存在身份验证绕过漏洞 (CVE-2024-7923)
    * foreman：从模板对整个数据库进行只读访问 (CVE-2024-8553)

    建议 Red Hat Satellite 用户升级至这些更新后的程序包，其中修复了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
211795	RHEL 9：RHOSP 17.1.4 (python-zipp) (RHSA-2024:9977)	Nessus	Red Hat Local Security Checks	2024/11/25	2024/11/25	medium
206781	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2024:6428)	Nessus	Red Hat Local Security Checks	2024/9/9	2024/11/7	medium
209548	RHEL 8/9：OpenShift Container Platform 4.17.2 (RHSA-2024:8232)	Nessus	Red Hat Local Security Checks	2024/10/23	2024/10/23	high
209902	RHEL 8/9：OpenShift Container Platform 4.16.z (RHSA-2024:8418)	Nessus	Red Hat Local Security Checks	2024/10/30	2024/10/30	critical
252317	Oracle Linux 9python-zipp (ELSA-2025-38828)	Nessus	Oracle Linux Local Security Checks	2025/8/19	2025/8/19	medium
203146	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：python-zipp 漏洞 (USN-6906-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2024/8/27	medium
202928	Amazon Linux 2023：python3.11-setuptools、python3.11-setuptools-wheel (ALAS2023-2024-653)	Nessus	Amazon Linux Local Security Checks	2024/7/22	2024/12/11	medium
252316	Oracle Linux 9python-zipp (ELSA-2025-20533)	Nessus	Oracle Linux Local Security Checks	2025/8/19	2025/8/19	medium
231081	Linux Distros 未修补的漏洞: CVE-2024-5569	Nessus	Misc.	2025/3/6	2025/8/27	medium
210402	RHEL 8 / 9：Satellite 6.16.0（危急）(RHSA-2024:8906)	Nessus	Red Hat Local Security Checks	2024/11/6	2024/11/6	high

检测

插件搜索

medium

medium

high

critical

medium

medium

medium

medium

medium

high