远程 Redhat Enterprise Linux 8 主机上安装的多个程序包受到 RHSA-2024:1878 公告中提及的多个漏洞影响。

    Red Hat Update Infrastructure (RHUI) 提供高度可扩展、高度冗余的框架，以便您管理存储库和内容。它还能使云提供商向 Red Hat Enterprise Linux (RHEL) 实例提供内容和更新。

    安全修复：

    * python-django：EmailValidator/URLValidator 中潜在的正则表达式拒绝服务漏洞 (CVE-2023-36053)

    * python-aiohttp：通过 llhttp HTTP 请求解析器触发的 HTTP 请求走私漏洞 (CVE-2023-37276)

    * python-django：``django.utils.encoding.uri_to_iri()`` 中潜在的拒绝服务漏洞 (CVE-2023-41164)

    * python-django：django.utils.text.Truncator 中可能存在的拒绝服务漏洞 (CVE-2023-43665)

    * python-aiohttp：HTTP 解析器中的多个标头解析问题 (CVE-2023-47627)

    * aiohttp：HTTP 请求修改 (CVE-2023-49081)

    * python-cryptography：加载 PKCS7 证书时发生空取消引用 (CVE-2023-49083)

    * jinja2：将用户输入作为密钥传递至 xmlattr 过滤器时的 HTML 属性注入 (CVE-2024-22195)

    * aiohttp：follow_symlinks 目录遍历漏洞 (CVE-2024-23334)

    * python-ecdsa：容易受到 Minerva 攻击 (CVE-2024-23342)

    * python-aiohttp：http 请求走私 (CVE-2024-23829)

    * Django：“intcomma”筛选器遭到拒绝服务攻击 (CVE-2024-24680)

    * python-django：django.utils.text.Truncator.words() 可能会发生正则表达式拒绝服务 (CVE-2024-27351)

    * aiohttp：如果用户控制使用 aiohttp 客户端的 HTTP 方法，则发生 CRLF 注入 (CVE-2023-49082)

    此 RHUI 更新修复以下错误：

    * 由于使用 distutils，RHEL 8.10 Beta 上的 rhui-installer 失败。此问题已通过更新到不使用 distutils 的更新版本的 ansible-collection-community-crypto 得以解决。

    此 RHUI 更新引入了以下增强：

    * 当首次运行或随时重新运行 RHUI 安装程序或时，本机 Ansible 模块现在用于更新 RHUA 服务器上的程序包。在 rhui-installer 命令行上使用 --ignore-newer-rhel-packages 标记可防止进行此更新。

    * PulpCore 已更新到版本 3.39。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:1878 advisory.

    Red Hat Update Infrastructure (RHUI) offers a highly scalable, highly redundant     framework that enables you to manage repositories and content. It also enables     cloud providers to deliver content and updates to Red Hat Enterprise Linux     (RHEL) instances.

    Security Fix(es):

    * python-django: Potential regular expression denial of service vulnerability in     EmailValidator/URLValidator (CVE-2023-36053)

    * python-aiohttp: HTTP request smuggling via llhttp HTTP request parser (CVE-2023-37276)

    * python-django: Potential denial of service vulnerability in ``django.utils.encoding.uri_to_iri()``     (CVE-2023-41164)

    * python-django: Denial-of-service possibility in django.utils.text.Truncator (CVE-2023-43665)

    * python-aiohttp: numerous issues in HTTP parser with header parsing (CVE-2023-47627)

    * aiohttp: HTTP request modification (CVE-2023-49081)

    * python-cryptography: NULL-dereference when loading PKCS7 certificates (CVE-2023-49083)

    * jinja2: HTML attribute injection when passing user input as keys to xmlattr filter (CVE-2024-22195)

    * aiohttp: follow_symlinks directory traversal vulnerability (CVE-2024-23334)

    * python-ecdsa: vulnerable to the Minerva attack (CVE-2024-23342)

    * python-aiohttp: http request smuggling (CVE-2024-23829)

    * Django: denial-of-service in ``intcomma`` template filter (CVE-2024-24680)

    * python-django: Potential regular expression denial-of-service in django.utils.text.Truncator.words()     (CVE-2024-27351)

    * aiohttp: CRLF injection if user controls the HTTP method using aiohttp client (CVE-2023-49082)

    This RHUI update fixes the following bugs:

    * The rhui-installer failed on RHEL 8.10 Beta due to the use of distutils. This has been addressed by     updating to a newer version of ansible-collection-community-crypto which does not use the distutils.

    This RHUI update introduces the following enhancements:

    * A native Ansible module is now used to update the packages on the RHUA server when the RHUI installer is     run for the first time or rerun at any time. This update can be prevented by using the --ignore-newer-     rhel-packages flag on the rhui-installer command line.

    * PulpCore has been updated to version 3.39.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2024:1878 公告中提及的多個弱點影響。

    Red Hat Update Infrastructure (RHUI) 提供高度可擴充、高度冗餘的架構，讓您可以管理存放庫和內容。它也可讓雲端供應商將內容和更新傳送至 Red Hat Enterprise Linux (RHEL) 執行個體。

    安全性修正：

    * python-django：EmailValidator/URLValidator 中潛在的規則運算式拒絕服務弱點 (CVE-2023-36053)

    * python-aiohttp：可透過 llhttp HTTP 要求剖析器觸發的 HTTP 要求走私弱點 (CVE-2023-37276)

    * python-django：``django.utils.encoding.uri_to_iri()`` 中潛在的拒絕服務弱點。(CVE-2023-41164)

    * python-django：django.utils.text.Truncator 中可能存在拒絕服務弱點 (CVE-2023-43665)

    * python-aiohttp：具有標頭剖析功能的 HTTP 剖析器中有多個問題 (CVE-2023-47627)

    * aiohttp：HTTP 要求修改 (CVE-2023-49081)

    * python-cryptography：載入 PKCS7 憑證時發生 NULL 指標解除參照 (CVE-2023-49083)

    * jinja2：將使用者輸入作為金鑰傳遞至 xmlattr 篩選器時，發生 HTML 屬性插入攻擊 (CVE-2024-22195)

    * aiohttp：follow_symlinks 的目錄遊走弱點 (CVE-2024-23334)

    * python-ecdsa：容易受到 Minerva 攻擊 (CVE-2024-23342)

    * python-aiohttp：HTTP 要求走私弱點 (CVE-2024-23829)

    * Django：``intcomma`` 範本篩選器中的拒絕服務弱點 (CVE-2024-24680)

    * python-django：django.utils.text.Truncator.words() 中潛在的規則運算式拒絕服務問題 (CVE-2024-27351)

    * aiohttp：若使用者使用 aiohttp 用戶端控制 HTTP 方法，則會發生 CRLF 插入攻擊 (CVE-2023-49082)

    此 RHUI 更新可修復下列錯誤：

    * RHEL 8.10 Beta 中因使用 distutils 而導致的 rhui-installer 失敗問題。已更新為不使用 distutils 的新版 ansible-collection-community-crypto，以解決此問題。

    此 RHUI 更新包含下列增強功能：

    * 現可在 RHUI 安裝程式首次執行或隨時重新執行時，使用原生 Ansible 模組更新 RHUA 伺服器上的套件。在 rhui-installer 命令列上使用 --ignore-newer-rhel-packages 旗標可阻止此更新。

    * 已將 PulpCore 更新至 3.39 版。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:1878 アドバイザリに記載されている複数の脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Update Infrastructure (RHUI) は、リポジトリとコンテンツの管理を可能にする、非常にスケーラブルで冗長性の高いフレームワークを提供します。また、クラウドプロバイダーは、Red Hat Enterprise Linux (RHEL) インスタンスにコンテンツと更新プログラムを提供できます。

    セキュリティ修正プログラム：

    * python-django: EmailValidator/URLValidator における正規表現によるサービス拒否の潜在的な脆弱性 (CVE-2023-36053)

    * python-aiohttp: llhttp HTTP リクエストパーサーを介した HTTP リクエストのスマグリング (CVE-2023-37276)

    * python-django:「django.utils.encoding.uri_to_iri()」での潜在的なサービス拒否の脆弱性 (CVE-2023-41164)

    * python-django: django.utils.text.Truncator でのサービス拒否の可能性 (CVE-2023-43665)

    * python-aiohttp: ヘッダー解析に関する HTTP パーサーにおける多数の問題 (CVE-2023-47627)

    * aiohttp: HTTP リクエストの変更 (CVE-2023-49081)

    * python-cryptography: PKCS7 証明書をロードする際の NULL 逆参照 (CVE-2023-49083)

    * jinja2: ユーザー入力を xmlattr フィルターへのキーとして渡す際の HTML 属性インジェクション (CVE-2024-22195)

    * aiohttp: follow_symlinks のディレクトリトラバーサルの脆弱性 (CVE-2024-23334)

    * python-ecdsa: Minerva 攻撃に対する脆弱性 (CVE-2024-23342)

    * python-aiohttp: http リクエストのスマグリング (CVE-2024-23829)

    * Django:「intcomma」テンプレートフィルターでのサービス拒否 (CVE-2024-24680)

    * python-django: django.utils.text.Truncator.words() における潜在的な正規表現のサービス拒否 (CVE-2024-27351)

    * aiohttp: ユーザーが aiohttp クライアントを使用して HTTP メソッドをコントロールする場合の CRLF インジェクション (CVE-2023-49082)

    この RHUI 更新では次のバグを修正します。

    * rhui-installer は、distutils の使用により RHEL 8.10 Beta 上で失敗しました。これは、distutils を使用しない新しいバージョンである ansible-collection-community-crypto に更新することで解決されました。

    この RHUI アップデートでは、次の機能強化が導入されています。

    * RHUI インストーラーが初めて実行されるとき、または任意の時点で再実行されるときに、RHUA サーバー上のパッケージを更新するためにネイティブの Ansible モジュールが使用されるようになりました。この更新は、rhui-installer コマンドラインで --ignore-newer-rhel-packages フラグを使用することで回避できます。

    * PulpCore は、バージョン 3.39 に更新されています。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

ID	名稱	產品	系列	已發布	已更新	嚴重性
193467	RHEL 8：RHUI 4.8 版本 - 安全更新、缺陷修复和增强（中危）(RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/5/29	high
193467	RHEL 8 : RHUI 4.8 Release - Security Updates, Bug Fixes, and Enhancements (Moderate) (RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/5/29	high
193467	RHEL 8：RHUI 4.8 版本 - 安全性更新、錯誤修正和增強功能 (中等) (RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/5/29	high
193467	RHEL 8: RHUI 4.8 リリース - セキュリティの更新、バグ修正、拡張機能 (重要度中) (RHSA-2024:1878)	Nessus	Red Hat Local Security Checks	2024/4/18	2024/5/29	high

偵測

搜尋 Plugin

high

high

high

high