远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2025:8609 公告中提及的一个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * python3-django/python39-djangodjango.utils.text.wrap() 中的潜在拒绝服务漏洞 (CVE-2025-26699)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    自动化控制器
    * 更新了许可证机制允许用户在通过 API 和 AAP 用户界面提取订阅时提供用户名和密码 (AAP-46837)
    * 修复 Workflow Visualizer 在节点计数较高的情况下偶尔会冻结 (AAP-46620)
    * 已修复“useThrottle”以便作业列表页面在 websocket 事件发生时不会向 API 发送垃圾信息 (AAP-46551)
    * 修复在上传到混合云控制台失败后分析收集器无法清理临时文件 (AAP-45967)
    * 更新了调度程序以根据使用期限或在上一个任务完成后回收空闲的工作进程。将默认的最长使用期限延长至 4 小时可通过将“WORKER_MAX_LIFETIME_SECONDS”设置为所需时间进行配置或设置为 None 以禁用工作线程回收 (AAP-45948)
    * 已更新凭据创建页面上的帮助文本 (AAP-45499)
    * 添加了批量更新排序实用工具方法以防止数据库死锁并使批处理大小规范化 (AAP-45122)
    * 将基本认证替换为服务帐户认证以进行 AAP 订阅管理 (AAP-44642)
    * 更新了“凭据”表单上的标题特别是 Insights 凭据通知用户输入客户端 ID 和密钥以创建 Insights 凭据 (AAP-43235)
    * 更新了系统设置 UI 中的字段名称和帮助文本以指示服务帐户的客户端 ID 和客户端密码以及 Analytics 的客户端 ID 和客户端密码 (AAP-43161)
    * 已更新订阅编辑 UI 中的标题和字段名称以指示 Ansible 订阅现在需要混合云控制台的服务帐户 (AAP-43160)
    * automation-controller 已更新到 4.5.23

    自动化中心
    * 将 EE pull 访问限制为明确授权的用户 (AAP-46525)
    * automation-hub 已更新到 4.9.4
    * python3-galaxy-ng/python39-galaxy-ng 已更新到 4.9.4
    * python3-pulp-ansible/python39-pulp-ansible 已更新到 0.20.11

    其他变更：
    * python3-django/python39-django 已更新到 4.2.21
    * 安装程序和设置已更新为 2.4-12

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2025:4553 公告中提及的漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * Automation-controllerdjango.utils.text.wrap() 中的潜在拒绝服务漏洞 (CVE-2025-26699)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    Automation Platform
    * 将legacy_password.py 和legacyMixin 中的 AuthenticatorPlugin 类内的 authenticate() 方法重构为它们的共同父项 LegacyMixin。为类及其方法添加了注释以便理解代码 (AAP-44460)
    * 允许使用不同的管理员用户名称安装网关 (AAP-44180)
    * 添加了 grpc_defaults.py 文件该文件可能包含 GRPC 服务器设置的替代信息 (AAP-44176)
    * 将 api html 视图上的定位标记更改为按钮标记以便其不违反语义规则 (AAP-43802)
    * 修复了 SSO 登录时的处理方式允许正确捕获错误消息 (AAP-43369)
    * LDAP 认证器字段 USER_SEARCH 现在正确支持 LDAP Union (AAP-42883)
    * 日志记录级别已更改为消除了当日志记录级别为“信息”时 X-DAB-JW-TOKEN 标头消息 (AAP-38169)
    * 现在在无 websocket 连接的情况下支持作业事件流 (AAP-43894)
    * 实现了由鼠标指针移动触发的节流会话刷新机制 (AAP-43622)
    * 解决了执行环境选择下拉菜单中的偶尔闪烁 (AAP-43546)
    * 添加了用于搜索 Rulebook 激活历史记录日志的工具栏 (AAP-43338)
    * 新增了规则手册激活实例的增强型日志查看器类似于作业输出记录器 (AAP-43337)
    * 修复了由于缺少部分输出导致作业输出缓慢且难以读取的问题 (AAP-41434)
    * 为等待正在运行的作业的用户添加通知以开始其 playbook 执行 (AAP-41399)
    * 已对身份验证方法映射 UI 进行性能改进 (AAP-40963)
    * 修复现在允许客户查看已筛选作业输出的输出详细信息 (AAP-38925)
    * 新增了编辑现有 rulebook 激活的功能 (AAP-37299)
    * 已将 automation-gateway 更新为 2.5.20250507
    * Automation-gateway-proxy 已更新到 2.5.10
    * 已将 python3.11-django-ansible-base 更新为 2.5.20250507

    自动化控制器
    * 修复了 awx.awx.schedule_rrule 的错误弃用警告 (AAP-43474)
    * 修复了 Django 密码验证器 UserAttributeSimilarityValidator 的使用 (AAP-43046)
    * 修复了事实以便在作业执行期间修改清单时不再意外删除事实 (AAP-39365)
    * 实现了 GitHub App 凭据类型 (AAP-38589)
    * automation-controller 已更新到 4.6.12
    * 已将 receptor 更新为 1.5.5

    事件驱动型 Ansible
    * 修复了 ansible-rulebook 中使用的 drools 规则引擎将内存中不匹配的事件保留两小时的 default_events_ttl 从而导致内存泄漏的问题 (AAP-44899)
    * 修复了激活失败并提示消息“它将根据重新启动策略始终在 60 秒后尝试重新启动 (1/5)”但该激活不会重新启动 (AAP-43969)
    * 修复了一个缺陷 OCP 部署的激活名称中不允许使用 [] 等特殊字符 (AAP-43742)
    * 增强了 eda-server 的 AAP 注入器以便将常见平台变量作为 extra_vars 或环境变量包含在指定情况下 (AAP-43029)
    * 修复了有时会在基于 VM 的安装中容器未被正确删除或者丢失最后输出条目的缺陷 (AAP-42935)
    * 添加了对在 eda 集合的 rulebook 激活模块中重新启动激活的支持 (AAP-42542)
    * 允许使用 AAP 别名指定 eda 集合变量以确保通用平台 env 变量和模块变量可用在 eda 集合中 (AAP-42280)
    * 为每条标记为 [tid: uuid-pattern] 的日志消息添加了日志跟踪 ID (AAP-42270)
    * 将 x-request-id 添加到标记为 [rid:uuid-pattern] 的每条日志消息 (AAP-42269)
    * EDA 决策环境验证错误现在会显示在决策环境 UI 页面中的决策环境文本框下方 (AAP-42147)
    * 如果源插件终止我们现在应该能够看到堆栈跟踪以及源文件名、函数名和行号 (AAP-41774)
    * 解决了级联删除问题以便在创建 rulesbook 激活和事件流的用户被删除后仍然保留 (AAP-41769)
    * 会正确验证传递的控制器 URL (AAP-41575)
    * 使决策环境映像能够在使用具有自定义端口的映像注册表时成功进行身份验证和拉取 (AAP-41281)
    * 当 ansible-rulebook 在工作模式下启动时相关的设置与版本会在日志中发出 (AAP-40781)
    * 已将 ansible-rulebook 更新为 1.1.6
    * automation-eda-controller 已更新到 1.1.8
    * python3.11-drools-jpy 已更新到 0.3.10
    * python3.11-drools-jpy-jar 已更新到 1.0.7
    * python3.11-podman 已更新到 5.4.0

    自动化中心
    * automation-hub 已更新到 4.10.4
    * python3.11-galaxy-importer 已更新到 0.4.29
    * python3.11-galaxy-ng 已更新到 4.10.4

    基于容器的 Ansible Automation Platform
    * 更新了安装程序以使用 ansible.platform 集合 (AAP-44230)
    * 修复自动化中心因缺少工作线程临时目录而无法上传集合的问题 (AAP-44166)
    * 实现了 playbook 以使用清单文件收集 sos 报告 (AAP-42606)
    * 添加了新变量 use_archive_compression其默认值true (AAP-41242)
    * 为每个组件添加了新变量componentName_use_archive_compression默认值
    true (AAP-41242)
    * 容器化安装程序设置已更新为 2.5-13

    基于 RPM 的 Ansible Automation Platform
    * 修复网关服务在还原后与目标环境不匹配的问题 (AAP-44231)
    * 更新了安装程序以使用 ansible.platform 集合 (AAP-43465)
    * 修复激活 rulebooks 时由于缺少 Authorization 标头而导致的问题 (AAP-44700)
    * 添加了对备份/还原中使用的存档和数据库项目的压缩 (AAP-42055)
    * ansible-automation-platform-installer 和安装程序设置已更新为 2.5-12

    其他变更：
    * aap-metrics-utility 已更新到 0.5.0
    * ansible-runner 已更新到 2.4.1
    * python3.11-dynaconf 已更新到 3.2.10
    * python3.11-sqlparse 已更新到 0.5.3

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS/24.10 主机上安装的包受到 USN-7335-1 公告中提及的漏洞影响。

    发现 Django 未正确处理文字环绕。攻击者可能会利用此问题发起拒绝服务攻击。

Tenable 已直接从 Ubuntu 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

远程 Redhat Enterprise Linux 8/9 主机上安装的程序包受到 RHSA-2025:3160 公告中提及的漏洞的影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * jinja2：通过选择格式方法的 attr 过滤器突破 Jinja 沙盒 (CVE-2025-27516)

    * python3.11-jinja2：通过选择格式方法的 attr 过滤器突破 Jinja 沙盒 (CVE-2025-27516)

    * python3.11-django：django.utils.text.wrap() 中存在潜在的拒绝服务漏洞 (CVE-2025-26699)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    Automation Platform
    * 修复迁移具有无效电子邮件地址的用户帐户时进程会打印一条消息，显示电子邮件地址已被删除的用户名的问题 (AAP-42146)
    * 当迁移具有无效电子邮件地址的用户帐户时，工作流会打印一条消息，显示电子邮件地址已被删除的用户名的问题 (AAP-41675)
    * 已将 automation-gateway 更新为 2.5.20250326
    * 已将 python3.11-django-ansible-base 更新为 2.5.20250326

    自动化控制器
    * 修复了主机指标，不再收集黑暗/不可访问主机的主机指标 (AAP-41567)
    * 由于 ansible-engine 停用，已从控制器作业输出中删除 ANSIBLE_COLLECTIONS_PATHS 2.9 (AAP-41566)
    * 修复了系统审计员无法下载执行节点安装捆绑包的问题 (AAP-37922)
    * 修复了主机记录，如果主机仅有故障或已完成无法访问的任务，则不再将其添加到 HostMetric (AAP-32094)
    * automation-controller 已更新至 4.6.10

    自动化中心
    * 修复了如下一个问题：用户无法删除资源 API 上的自动化中心团队 (AAP-42158)
    * 已添加迁移文件，以针对经过验证的存储库将 retain_repo_versions 的默认值设置为 1 (AAP-42005)
    * automation-hub 已更新到 4.10.3
    * python3.11-galaxy-ng 已更新到 4.10.3
    * 已将 python3.11-pulpcore 更新至 3.49.34

    基于 RPM 的 Ansible Automation Platform
    * 修复 preflight 未考虑 automationgateway 是 CA 服务器节点的问题 (AAP-41817)
    * 修复了因 nginx 配置定时而导致在 IPv6 环境中失败的网关安装 (AAP-41816)
    * ansible-automation-platform-installer 和安装程序设置已更新为 2.5-10

    更多变更：
    * 已将 python3.11-django 更新至 4.2.20
    * 已将 python3.11-jinja2 更新至 3.1.6

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 在 5.1.7 版之前的 Django 5.1、5.0.13 版之前的 Django 5.0 以及 4.2.20 版之前的 Django 4.2 中发现一个问题。当使用超长字符串时，django.utils.text.wrap() 方法和 wordwrap 模板过滤器可能会受到拒绝服务攻击。(CVE-2025-26699)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Debian 11 主机上安装的程序包受到 dla-4086 公告中提及的一个漏洞影响。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-4086-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 3 月 19 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    程序包：python-django 版本：2:2.2.28-1~deb11u6 CVE ID：CVE-2025-26699Debian Bug：1099682

    在基于 Python 的 Web 开发框架 Django 中发现一个潜在拒绝服务 (DoS) 漏洞。

    该问题位于 django.utils.text 模块的 wrap() 方法中。当使用超长字符串时，该方法和 wordwrap 模板过滤器可能会受到拒绝服务攻击。

    对于 Debian 11 bullseye，已在 2:2.2.28-1~deb11u6 版本中修复此问题。

    我们建议您升级 python-django 程序包。

    如需了解 python-django 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/python-django

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTS

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
237806	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 产品安全和缺陷修复更新（中危）(RHSA-2025:8609)	Nessus	Red Hat Local Security Checks	2025/6/5	2025/6/5	medium
235381	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（中危）(RHSA-2025:4553)	Nessus	Red Hat Local Security Checks	2025/5/6	2025/6/5	medium
232216	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS / 24.10：Django 漏洞 (USN-7335-1)	Nessus	Ubuntu Local Security Checks	2025/3/6	2025/3/6	medium
233518	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（重要）(RHSA-2025:3160)	Nessus	Red Hat Local Security Checks	2025/3/29	2025/6/5	medium
232266	Linux Distros 未修补的漏洞: CVE-2025-26699	Nessus	Misc.	2025/3/6	2025/8/27	medium
232990	Debian dla-4086：python-django-doc - 安全更新	Nessus	Debian Local Security Checks	2025/3/20	2025/3/20	medium

检测

插件搜索

medium

medium

medium

medium

medium

medium