RHEL 8/9：Red Hat Ansible Automation Platform 2.5 產品安全性和錯誤修正更新 (重要) (RHSA-2025:16487)
high Nessus Plugin ID 265776
語言:
概要
遠端 Red Hat 主機缺少一個或多個安全性更新。說明
遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2025:16487 公告中提及的多個弱點影響。Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。
安全性修正：
* automation-controllerFilteredRelation 欄別名中的 Django SQL 插入 (CVE-2025-57833)
* automation-controllerDjango 路徑插入弱點 (CVE-2025-48432)
* python3.11-djangoFilteredRelation 欄別名中的 Django SQL 插入 (CVE-2025-57833)
如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。
包含的更新和修正：
Automation Platform
* 提高閘道控制平面授權效能以減少或消除偶然發生的要求錯誤 (503、504、403) (AAP-53468)
* 修正一個錯誤當存取使用者為稽核員而非管理員時閘道不會為 UI 轉譯「設定」>「平台閘道」產生必要的詮釋資料 (AAP-53279)
* 如果 GRPC 伺服器無法連線至資料庫其現會將 503 傳回 envoy 而非 403 (AAP-51931)
* 已修改 ALLOW_OAUTH2_FOR_EXTERNAL_USERS 設定的說明文字 (AAP-51886)
* 修正傳送無效安全性設定時 SAML 驗證器中格式不正確的錯誤訊息。
此錯誤現在可正確顯示無效欄位且會指出有效欄位值 (AAP-51705)
* 改善驗證器對應處理、推理和結果的除錯記錄以利釐清 (AAP-51639)
* 修正驗證器對應未正確評估屬性 'in' 條件的問題 (AAP-51638)
* 以 SAML 驗證登入時系統會從已設定的屬性正確讀取使用者的群組而非預期群組一律位於群組屬性中 (AAP-51503)
* 已新增捲動至多選對話方塊讓使用者可以看到分頁 (AAP-52209)
* 修正在啟用限制具有啟動時提示時不允許使用者儲存工作流程排程作業範本的問題 (AAP-49794)
* automation-gateway 已更新至 2.5.20250924
* 已將 python3.11-django-ansible-base 更新至 2.5.20250924
自動化控制器
* 現在可以建立和編輯銀河認證無需指定組織 (AAP-52197)
* 修正 Django 中的一個路徑插入弱點因此內部 HTTP 回應記錄會逸出 request.path且遠端攻擊者無法透過特製 URL 操控記錄輸出 (AAP-51443)
* 提供正確的環境變數時匯出命令會透過控制器集合或搭配 awxkit 執行 (AAP-49452)
* 修正 api/v2/jobs/{id}/stdout/?format=txt 中的雙重逸出引號 (AAP-49077)
* 集合中的匯出模組現在接受 CONTROLLER_OPTIONAL_API_URLPATTERN_PREFIX 環境變數修正匯出在使用 平台閘道的部署上無法運作的錯誤 (AAP-39265)
* 已將 automation-controller 更新至 4.6.20
Automation hub
* 新增 GALAXY_API_SPEC_REQUIRE_AUTHENTICATION 設定 (預設為 false)其會將 OpenAPI 規格的存取權僅限於經驗證的使用者 (AAP-53578)
* 已將 automation-hub 更新至 4.10.8
* 已將 python3.11-galaxy-ng 更新至 4.10.8
容器型 Ansible Automation Platform
* 當主機上的 IPv6 停用時停用 PostgreSQL 和 Redis 服務上的 IPv6 系結 (AAP-53546)
* 修正控制器資源私密金鑰值的還原並實作移轉 (AAP-53535)
* 將 ansible 集合上傳至 Private Automation Hub 不再受 API 分頁限制 (AAP-53526)
* 還原期間執行 create_initial_data EDA 命令 (AAP-53382)
* 使用引號修正 Private Automation Hub 工作名稱的問題 (AAP-53307)
* 修正在預檢期間檢查 postgres 連線和版本時的 custom_ca_cert 路徑問題 (AAP-53213)
* 修正 TLS 停用時的 PostgreSQL 組態目錄建立問題 (AAP-52569)
* X-Forwarded-For 和 Real-Ip 標頭現已新增至 Nginx 記錄 (AAP-52562)
* 容器化安裝程式設定已更新至 2.5-19
RPM-based Ansible Automation Platform
* 已修正 redis_mode=standalone 和 Redis 群組同時定義的問題 (AAP-53560)
* 修正一個 EDA 還原問題其中未針對事件資料流更新資料庫認證 (AAP-53529)
* 修正無法在不屬於 redis 群組的 EDA/閘道節點上建立 redis 節點清單的問題 (AAP-53528)
* 已修正當部署具有超過 1 個 EDA 節點但未定義 eda_node_type 時備份失敗的問題 (AAP-52892)
* 已移除 pulpcore-manager sudo 需求 (AAP-52288)
* 修正工作中的錯字從控制器清除執行個體 (AAP-52078)
* 閘道 uwsgi 處理程序計數現已可設定 (AAP-50390)
* 等待集線器背景工作上線 (AAP-46261)
* 已將 ansible-automation-platform-installer 和安裝程式設定更新至 2.5-18
其他變更
* aap-metrics-utility 已更新至 0.6.0
* 已將 ansible-creator 更新至 25.8.0
* 已將 ansible-dev-environment 更新至 25.8.0
* 已將 ansible-dev-tools 更新至 25.8.3
* 已將 ansible-lint 更新至 25.8.2
* 已將 ansible-navigator 更新至 25.8.0
* ansible-sign 已更新至 0.1.2
* automation-gateway-proxy 已針對 RHEL9 更新至 2.6.6-3
* 已將 molecule 更新至 25.7.0
* 已將 python3.11-ansible-compat 更新至 25.8.1
* 已將 python3.11-django 更新至 4.2.24
* 已將 python3.11-galaxy-importer 更新至 0.4.33
* 已將 python3.11-pytest-ansible 更新至 25.8.0
* python3.11-pytest-plus 已更新至 0.8.1
* python3.11-pytest-sugar 已更新至 1.1.1
* python3.11-ruamel-yaml 已更新至 0.18.15
* python3.11-termcolor 已更新至 3.1.0
* 已將 python3.11-tox-ansible 更新至 25.8.0
Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新受影響的 automation-controller-venv-tower 和/或 python3.11-django 套件。另請參閱
https://access.redhat.com/security/updates/classification/#important
https://bugzilla.redhat.com/show_bug.cgi?id=2370365
https://bugzilla.redhat.com/show_bug.cgi?id=2392990
Plugin 詳細資訊
嚴重性: High
ID: 265776
檔案名稱: redhat-RHSA-2025-16487.nasl
版本: 1.1
類型: local
代理程式: unix
已發布: 2025/9/24
已更新: 2025/9/24
支援的感應器: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Nessus
風險資訊
VPR
風險因素: High
分數: 7.8
Vendor
Vendor Severity: Important
CVSS v2
風險因素: High
基本分數: 7.6
時間性分數: 5.6
媒介: CVSS2#AV:N/AC:H/Au:N/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2025-57833
CVSS v3
風險因素: High
基本分數: 7.1
時間性分數: 6.2
媒介: CVSS:3.0/AV:N/AC:H/PR:L/UI:N/S:C/C:H/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: p-cpe:/a:redhat:enterprise_linux:python3.11-django, cpe:/o:redhat:enterprise_linux:8, cpe:/o:redhat:enterprise_linux:9, p-cpe:/a:redhat:enterprise_linux:automation-controller-venv-tower
必要的 KB 項目: Host/local_checks_enabled, Host/RedHat/release, Host/RedHat/rpm-list, Host/cpu
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2025/9/23
弱點發布日期: 2025/6/5
參考資訊
CVE: CVE-2025-48432, CVE-2025-57833
RHSA: 2025:16487