远程 Redhat Enterprise Linux 8/9 主机上安装的多个程序包受到 RHSA-2025:23069 公告中提及的多个漏洞影响。

    Red Hat Ansible Automation Platform 为大规模构建、部署和管理 IT 自动化提供了一个企业框架。IT 管理人员可以为如何将自动化应用于各个团队提供全面的指导原则，而自动化开发人员仍然可以自由地利用现有知识编写任务，而不会导致开销增加。Ansible Automation Platform 让整个组织的用户都能够通过简单、强大的无代理语言，共享、审查和管理自动化内容。

    安全修复：

    * Automation-controllerDjango SQL 注入 (CVE-2025-64459)
    * python3.11-djangoDjango SQL 注入 (CVE-2025-64459)
    *自动化-eda-controllerAAP EDA 事件流中的敏感内部标头泄露 (CVE-2025-9908)
    * Automation-eda-controller事件流测试模式暴露 AAP EDA 中的敏感标头 (CVE-2025-9907)
    * Automation-gateway网关中的不当路径验证允许凭据外泄 (CVE-2025-9909)
    * Automation-gateway通过缺少数据大小检查导致的 Axios DoS (CVE-2025-58754)
    *接受器由于 HANDSHAKE_DONE 帧提早导致 quic-go 崩溃 (CVE-2025-59530)

    有关上述安全问题的更多详细信息，包括其影响、CVSS 得分、致谢，以及其他相关信息，请参阅列于“参考”部分的 CVE 页面。

    包含的更新和补丁：

    Automation Platform
    * 修复了多种属性的使用 和 条件。之前身份验证映射会跳过缺少的属性使用此补丁仅当所有属性都存在且满足条件时才会应用映射 (AAP-53523)
    * 添加了对订阅管理初始页面的 UI 更改 (AAP-47864)
    * 修复了作业模板在相关联的项目删除后就无法保持可编辑状态的问题 (AAP-58474)
    * 已将 automation-gateway 更新为 2.5.20251210
    * 已将 python3.11-django-ansible-base 更新为 2.5.20251210

    Automation Controller
    * 修复作业在默认未安装 python 3.9 且启用 fapolicyd 的系统上失败的问题 (AAP-58479)
    * 修复接收器中的一个问题某些边缘情况造成 JSON 无法解析 (AAP-57253)
    * 修复了 GitHub 应用程序安装访问令牌查找以接受 Iv2 客户端 ID (AAP-58882)
    * 已更新控制器现在在同步启用了“允许分支替代”的项目时使用强制标记 (AAP-58532)
    * 修复了长时间运行的作业中的 Redis broken pipe 错误 (AAP-59727)
    * 修复了 main_unifiedjobtemplate.org_unique 列不存在迁移错误 (AAP-56221)
    * ansible-runner 已更新到 2.4.2
    * automation-controller 已更新到 4.6.23
    * Automation-controller-fapolicyd 已更新到 1.0-5
    * 已将 receptor 更新为 1.6.2

    Automation Hub
    * 向 Automation Hub API 密码字段添加了自动填写属性 (AAP-59912)
    * automation-hub 已更新到 4.10.10
    * python3.11-galaxy-ng 已更新到 4.10.10
    * python3.11-galaxy-importer 已更新到 0.4.36

    事件驱动型 Ansible
    * 添加了 mTLS 事件流的凭据类型 (AAP-55786)
    * 修复了 redis_tls 不支持 yes/no 等布尔值的问题 (AAP-52828)
    * automation-eda-controller 已更新到 1.1.14

    基于容器的 Ansible Automation Platform
    * 修复了 podman 5.6 与自动化控制器容器配置的兼容性 (AAP-58546)
    * 从 EDA 设置文件中删除了 EVENT_STREAM_MTLS_BASE_URL避免了使用 eda_extra_settings 变量时的重复条目 (AAP-57587)
    * RHEL 最低版本已更新至 9.4 (AAP-56386)
    * nginx 已更新到 1.24 (AAP-56203)
    * 容器化安装程序设置已更新到 2.5-21

    基于 RPM 的 Ansible Automation Platform
    * 修复清单中没有 Automation Hub 节点时安装程序在执行环境图像上传期间失败的问题 (AAP-57122)
    * RHEL 最低版本已更新到 8.10 和 9.4 (AAP-56386)
    * nginx 已更新到 1.24 (AAP-56205)
    * ansible-automation-platform-installer 和安装程序设置已更新为 2.5-20

    其他变更
    * ansible-builder 已更新到 3.1.1
    * ansible-creator 已更新到 25.12.0
    * ansible-dev-environment 已更新到 25.12.2
    * ansible-dev-tools 已更新到 25.12.0
    * ansible-lint 已更新到 25.12.0
    * ansible-navigator 已更新到 25.12.0
    * ansible-sign 已更新到 0.1.4
    * bindep 已更新到 2.13.0
    * molecule 已更新到 25.12.0
    * python3.11-ansible-compat 已更新到 25.12.0
    * python3.11-distlib 已更新到 0.4.0
    * 已将 python3.11-django 更新至 4.2.26
    * python3.11-execnet 已更新到 2.1.2
    * python3.11-gunicorn 已更新到 23.0.0
    * python3.11-pluggy 已更新到 1.6.0
    * python3.11-pytest 已更新到 9.0.1
    * python3.11-pytest-ansible 已更新到 25.12.0
    * python3.11-pytest-xdist 已更新到 3.8.0
    * python3.11-ruamel-yaml-clib 已更新到 0.2.15
    * python3.11-subprocess-tee 已更新到 0.4.2
    * python3.11-tox-ansible 已更新到 25.12.0
    * python3.11-typing-extensions 已更新到 4.15.0

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

如 JSDSERVER-16480 公告中所述远程主机上运行的 Atlassian Jira Service Management Data Center 和 Server (Jira Service Desk) 版本受到漏洞的影响。

  - Axios 是适用于浏览器和 Node.js 的基于承诺的 HTTP 客户端。当低于版本 0.30.2 和 1.12.0 的Axios 在 Node.js 上运行并获得包含“data:”方案的 URL 时它不执行 HTTP。相反，其 Node http 适配器会将整个负载解码到内存中(“Buffer”/“Blob”)，并返回一个合成的 200 响应。此路径忽略“maxContentLength”/“maxBodyLength”仅保护 HTTP 响应因此攻击者可以提供非常大的“data:”URI 并导致进程分配无限的内存和崩溃 (DoS)即使调用者请求“responseType“stream””。版本 0.30.2 和 1.12.0 包含针对 问题的修补程序。 (CVE-2025-58754)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

如 2026 年 1 月 CPU 公告所述检测到的远程主机上安装的 GoldenGate 版本受到多个漏洞的影响。

  - axios 是适用于浏览器和 node.js 的基于承诺的 HTTP 客户端。当将绝对 URL 而非协议相关 URL 传递到 axios 时会出现此问题。即使设置了 ?baseURLaxios 也会将请求发送到指定的绝对 URL从而可能导致 SSRF 和凭据泄漏。此问题会同时影响 axios 的服务器端和客户端使用。 (CVE-2025-27152)

  - Axios 是适用于浏览器和 Node.js 的基于承诺的 HTTP 客户端。介于版本 0.28.0 和低于版本 0.30.2 和 1.12.0 的 Axios 在 Node.js 上运行并且获得包含“data:”方案的 URL 时它不会执行 HTTP。相反，其 Node http 适配器会将整个负载解码到内存中(“Buffer”/“Blob”)，并返回一个合成的 200 响应。此路径忽略“maxContentLength”/“maxBodyLength”仅保护 HTTP 响应因此攻击者可以提供非常大的“data:”URI 并导致进程分配无限的内存和崩溃 (DoS)即使调用者请求“responseType“stream””(CVE-2025-58754)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - Axios 是适用于浏览器和 Node.js 的基于承诺的 HTTP 客户端。介于版本 0.28.0 和低于版本 0.30.2 和 1.12.0 的 Axios 在 Node.js 上运行并且获得包含“data:”方案的 URL 时它不会执行 HTTP。相反，其 Node http 适配器会将整个负载解码到内存中(“Buffer”/“Blob”)，并返回一个合成的 200 响应。此路径忽略“maxContentLength”/“maxBodyLength”仅保护 HTTP 响应因此攻击者可以提供非常大的“data:”URI 并导致进程分配无限的内存和崩溃 (DoS)即使调用者请求“responseType“stream””。版本 0.30.2 和 1.12.0 包含针对 问题的修补程序。 (CVE-2025-58754)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
278146	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 产品安全和缺陷修复更新（重要）(RHSA-2025:23069)	Nessus	Red Hat Local Security Checks	2025/12/10	2025/12/10	critical
298249	Atlassian Jira Service Management Data Center 和 Server 10.3.0 < 10.3.13 / 11.0.x < 11.2.1 / 11.3.0 (JSDSERVER-16480)	Nessus	Misc.	2026/2/6	2026/2/6	high
294986	Oracle GoldenGate2026 年 1 月 CPU	Nessus	Misc.	2026/1/22	2026/2/3	high
264701	Linux Distros 未修补的漏洞：CVE-2025-58754	Nessus	Misc.	2025/9/14	2026/4/29	high

检测

插件搜索

critical

high

high

high