遠端 Ubuntu 18.04 LTS/20.04 LTS/22.04 LTS/24.04 LTS 主機上安裝的一個套件受到 USN-7642-1 公告中所提及的多個弱點影響。

    Ben Kallus 發現 AIOHTTP 未正確剖析 HTTP 標頭。遠端攻擊者可能利用此問題，發動要求走私。此問題僅影響 Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-47627)

    Ivan Novikov 發現 AIOHTTP 未正確驗證某些輸入。遠端攻擊者可能利用此問題，發動要求走私。此問題僅影響了 Ubuntu 18.04 LTS、Ubuntu 20.04 LTS 和 Ubuntu 22.04 LTS。(CVE-2023-49081、CVE-2023-49082)

    Paul J. Dorn 發現 AIOHTTP 未正確驗證某些輸入。遠端攻擊者可能利用此問題，發動要求走私。此問題僅影響了 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-23829)

    Takeshi Kaneko 發現 AIOHTTP 未正確清理某些輸入。遠端攻擊者可能會利用此問題發動跨網站指令碼 (XSS) 攻擊。(CVE-2024-27306)

    據發現，AIOHTTP 未正確處理某些 POST 要求。遠端攻擊者可能利用此問題引發拒絕服務。此問題僅影響了 Ubuntu 20.04 LTS、Ubuntu 22.04 LTS 和 Ubuntu 24.04 LTS。(CVE-2024-30251)

    Jeppe Bonde Weikop 發現 AIOHTTP 未正確剖析某些輸入中的換行字元。遠端攻擊者可能利用此問題，發動要求走私。(CVE-2024-52304)

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機上安裝的多個套件受到 dla-4041 公告中提及的多個弱點影響。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4041-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Jochen Sprickerhof 2025 年 2 月 3 日 https://wiki.debian.org/LTS-------------------------------------------------------------------------

    套件: python-aiohttp 版本: 3.7.4-1+deb11u1 CVE ID: CVE-2023-47627 CVE-2023-47641 CVE-2023-49081 CVE-2023-49082 CVE-2024-23334 CVE-2024-23829 CVE-2024-27306 CVE-2024-30251 CVE-2024-52304 Debian 錯誤:

    適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構 aiohttp 中發現多個問題。這些問題與索引頁面上的 HTTP 剖析器、連結遊走和 XSS 有關。

    CVE-2023-47627

         AIOHTTP 中的 HTTP 剖析器有數個標頭剖析問題，這些問題可導致要求走私。此剖析器只會在啟用 AIOHTTP_NO_EXTENSIONS 時或未使用預先構建的 wheel 時使用。

    CVE-2023-47641

        受影響的 aiohttp 版本存在 http 通訊協定解譯不一致的安全弱點。HTTP/1.1 是一種持續性通訊協定，當 Content-Length(CL) 和 Transfer-Encoding(TE) 標頭值同時存在時，可能導致剖析 HTTP 的兩個實體解譯錯誤，進而對其他 socket 造成影響。若要進行概念驗證 (PoC)，其中一種可行的方法是設定一個接受 CL 和 TE 標頭的反向代理伺服器作為前端，並將 aiohttp 設定為後端。由於 aiohttp 會剖析所有包含 chunked 的內容，因此我們可以將 TE 設為 chunked123，如此一來前端實體就會略過此標頭並根據 Content-Length 進行剖析。此弱點的影響在於攻擊者可以繞過任何代理伺服器規則並影響其他使用者的 socket，例如傳送驗證標頭。如果系統內存在「開放重新導向」，攻擊者還能結合其功能將隨機使用者重新導向至其他網站並記錄要求資訊。

    CVE-2023-49081

        由於驗證機制不完善，導致攻擊者能夠修改 HTTP 要求 (例如插入新標頭)，在掌握 HTTP 版本控制權時甚至可以建立新的要求。此弱點僅在攻擊者有能力控制要求的 HTTP 版本時才會產生影響。

    CVE-2023-49082

        由於驗證機制不完善，導致攻擊者能夠修改 HTTP 要求 (例如插入新標頭)，在掌握 HTTP 方法時甚至可以建立新的要求。此弱點僅在攻擊者有能力控制要求的 HTTP 方法 (GET、POST 等) 時才會產生影響。如果攻擊者可以控制要求的 HTTP 版本，則可以修改要求內容 (要求走私)。

    CVE-2024-23334

        使用 aiohttp 作為 Web 伺服器並設定靜態路由時，必須指定靜態檔案的 root 路徑。
        此外，還可以使用「follow_symlinks」選項來決定是否遵循靜態 root 目錄之外的符號連結。
        當 'follow_symlinks' 設為 True 時，系統不會驗證讀取的檔案是否位於 root 目錄內。這可能導致目錄遊走弱點，也就是說即使在未使用符號連結的情況下，攻擊者仍然可以未經授權存取系統上的任意檔案。針對此問題，建議的緩解措施是停用 follow_symlinks 並使用反向代理伺服器。

    CVE-2024-23829

        Python HTTP 剖析器的安全性敏感機制所允許的字元集存在細微差異，這些差異必須觸發錯誤處理，才能完全比對代理伺服器的訊框邊界，以防止遭人插入其他要求。此外，驗證過程中可能會觸發例外狀況，這些狀況的處理方式與其他格式錯誤的輸入不一致。若系統的驗證標準比網際網路標準更寬鬆，在特定部署環境下可能會為要求走私提供可乘之機。未處理的例外狀況可造成應用程式伺服器和/或其記錄設施過度耗用資源。

    CVE-2024-27306

        在靜態檔案處理的索引頁面上存在一個 XSS 弱點。

    CVE-2024-30251

         在受影響的版本中，攻擊者可傳送特製的 POST (多重/表單資料) 要求。當 aiohttp 伺服器處理它時，伺服器將進入無限迴圈，且無法處理任何進一步的要求。攻擊者可在傳送單一要求後，停止應用程式處理要求。

    CVE-2024-52304

        Python 剖析器並未正確剖析區塊延伸模組中的新行，這在某些情況下會導致要求走私弱點。如果已安裝 aiohttp 的純 Python 版本 (即
        未安裝常用的 C 延伸模組) 或啟用 `AIOHTTP_NO_EXTENSIONS`，則攻擊者可執行要求走私攻擊，以繞過某些防火牆或代理伺服器保護機制。

    針對 Debian 11 bullseye，已在 3.7.4-1+deb11u1 版本中修正這些問題。

    建議您升級 python-aiohttp 套件。

    如需 python-aiohttp 的詳細安全性狀態，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-aiohttp

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱: https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP 簽章

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 aioHTTP 版本比 3.10.11 舊。因此會受到一個要求走私弱點影響。aiohttp 是適用於 asyncio 和 Python 的非同步 HTTP 用戶端/伺服器架構。在 3.10.11版之前，Python 剖析器會錯誤地剖析區塊延伸模組中的新行，這在某些情況下會導致要求走私弱點。如果已安裝 aiohttp 的純 Python 版本 (即沒有通常的 C 延伸模組) 或啟用 `AIOHTTP_NO_EXTENSIONS`，則攻擊者可執行要求走私攻擊，以繞過某些防火牆或代理伺服器保護。3.10.11 版已修正此問題。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8/9 主機上安裝的套件受到 RHSA-2024:11574 公告中提及的一個弱點影響。

    Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

    安全性修正：

    * aiohttp：由於未正確剖析區塊延伸模組，aiohttp 容易遭受要求走私攻擊 (CVE-2024-52304)

    建議 Red Hat Satellite 使用者皆升級至這些更新版套件，這些套件可修正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2024:10766 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * automation-controller：由於未正確剖析區塊延伸模組，aiohttp 容易遭受要求走私攻擊 (CVE-2024-52304)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    包含的更新和修正：

    自動化控制器
    * 修正 rrule 間隔設為 HOURLY 或 MINUTELY 時，在錯誤時間執行的工作排程 (AAP-36572)
    * 修正可將不相關工作標記為其他工作相依性的錯誤 (AAP-35309)
    * 在預設的 containergroup pod 規格中納入 pod 反關聯性設定，以最佳化方式分散工作負載 (AAP-35055)
    * 更新了 uWSGI 的次要版本以取得更新後的記錄字詞 (AAP-33169)
    * 已將 automation-controller 更新至 4.6.3

    Receptor
    * 修正造成 Receptor 執行階段不穩定錯誤的問題 (AAP-36476)
    * 已將 receptor 更新至 1.5.1

    容器型 Ansible Automation Platform
    * 更新後，您無法在使用受管理的資料庫節點時變更 postgresql_admin_username 的值 (AAP-36577)
    * 新增 PCP 監控角色的更新支援 (AAP-36576)
    * 透過此更新，系統會使用容器映像中的 ID 和 Image 欄位，而非 Digest 和 ImageDigest 來觸發容器更新 (AAP-36575)
    * 停用 proxy 設定中的平台閘道驗證，以防止控制平面關閉時出現 HTTP 502 錯誤 (AAP-36484)
    * 透過此更新，您可以為 Redis 群組使用專用節點 (AAP-36480)
    * 已修正停用 Automation Gateway 上的 TLS 會導致安裝失敗的問題 (AAP-35966)
    * 已修正平台閘道解除安裝時會將容器 systemd 單元檔案保留在磁碟上的問題 (AAP-35329)
    * 已修正停用 Automation Gateway proxy 上的 TLS 會導致安裝失敗的問題 (AAP-35145)
    * 透過此更新，您現在可以更新 Event-Driven Ansible 憑證中的登錄 URL 值 (AAP-35085)
    * 已修正當 hub_collection_signing=false 但 hub_container_signing=true 時自動化集線器容器簽署服務建立失敗的問題 (AAP-34977)
    * 已修正接收器容器的 HOME 環境變數會造成容器化執行節點產生權限遭拒錯誤的問題 (AAP-34945)
    * 已修正在設定多個集線器節點時未正確設定 GPG 代理程式通訊端，導致 /var/tmp/pulp 中未建立 GPG 通訊端檔案的問題 (AAP-34815)
    * 透過此更新，您現在可以在初始部署後變更自動化閘道連接埠的值 (AAP-34813)
    * 透過此更新，在記憶體設定較大的系統上增加了 kernel.keys.maxkeys 和 kernel.keys.maxbytes 設定 (AAP-34019)
    * 已新增 ansible_connection=local 至 inventory-growth 檔案，並闡明其使用方式 (AAP-34016)
    * 容器化安裝程式設定已更新至 2.5-6

    RPM-based Ansible Automation Platform
    * 現在可以使用 'receptor_datadir' 變數設定 Receptor 資料目錄 (AAP-36697)
    * 停用 proxy 設定中的平台閘道驗證，以允許在控制平面關閉時存取 UI (AAP-36667)
    * 已修正更新自動化控制器後，metrics-utility 命令無法執行的問題 (AAP-36486)
    * 修正資料庫中斷數分鐘後，分派程式服務進入 FATAL 狀態且無法處理新工作的問題 (AAP-36457)
    * 修正 /etc/tower/uwsgi.ini 檔案的所有者和群組權限 (AAP-35765)
    * 透過此更新，您現在可以更新 Event-Driven Ansible 憑證中的登錄 URL 值 (AAP-35162)
    * 已修正 inventory 檔案中未定義 eda_node_type 時會導致備份失敗的問題 (AAP-34730)
    * 已修正 inventory 檔案中未定義 routable_hostname 時會導致復原失敗的問題 (AAP-34563)
    * 透過此更新，inventory-grow 檔案現在包含在 ansible- automation-platform-installer 中 (AAP-33944)
    * ansible-automation-platform-installer 和安裝程式設定已更新至 2.5-6

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2025:0340 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：
    * automation-controller：Oracle 上 HasKey(lhs, rhs) 中潛在的 SQL 插入攻擊弱點 (CVE-2024-53908)
    * automation-controller：django.utils.html.strip_tags() 中潛在的拒絕服務弱點 (CVE-2024-53907)
    *automation-controller：透過 gRPC-C++ 中的資料損毀造成拒絕服務 (CVE-2024-11407)
    * automation-gateway：nanoid 會不當處理非整數值 (CVE-2024-55565)
    * python3.11-aiohttp：由於未正確剖析區塊延伸模組，aiohttp 容易遭受要求走私攻擊 (CVE-2024-52304)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    包含的更新和修正：

    Platform
    * 修復導覽表單精靈時偶爾發生的「找不到」錯誤 (AAP-37495)
    * 修復 ID_KEY 屬性未正確用於判斷社交驗證管道中的使用者名稱欄位的問題 (AAP-38300)
    * 修復 X-DAB-JW-TOKEN 標頭訊息會溢流記錄的問題 (AAP-38169)
    * 修復驗證器可建立使用者 ID 並傳回無效 authenticator_uid 的問題 (AAP-38021)
    * 將狀態 API「/api/gateway/v1/status/」從 JSON 中的服務屬性增強為陣列 (AAP-37903)
    * 修復下載 OpenAPI 結構描述檔案時私密金鑰會以純文字顯示的問題。
    注意：這不是閘道使用的私密金鑰，而是隨機預設金鑰 (AAP-37843)

    自動化控制器
    * 新增「job_lifecycle」作為記錄器中的選項以向外傳送，並將「organization_id」欄位新增至與工作相關的記錄中 (AAP-37537)
    * 修復「host_metric_summary_monthly」工作中反向追蹤日期比較不符的問題 (AAP-37487)
    * 修復將計數設為非零值的排程工作，使其不再意外執行 (AAP-37290)
    * 修復透過閘道對「/api/controller/login/」執行的 POST 作業，使其不再會導致嚴重錯誤 (AAP-37235)
    * 修復專案「requirements.yml」的行為，使其不再還原為叢集中之前的狀態 (AAP-37228)
    * 修復在開始工作之前建立事件磁碟分割表格時，由於快速啟動大量工作，偶爾會發生的錯誤 (AAP-37227)
    * 修復 named URL，使其在啟動工作範本時不再傳回 404 錯誤碼 (AAP-37025)
    * 更新了接收器，以便節點上的工作完成後清理暫時的接收器檔案 (AAP-36904)
    * 修復透過閘道對「/api/controller/login/」執行的 POST 作業，使其不再會導致嚴重錯誤 (AAP-33911)
    * 已將 automation-controller 更新至 4.6.6

    容器型 Ansible Automation Platform
    * 修復所提供的增長清單檔案範例可造成安裝在低資源系統上停止的問題 (AAP-38372)
    * 修復增長拓撲安裝中控制器的節流容量可導致效能降低的問題 (AAP-38207)
    * 修復在預檢角色執行期間未驗證接收器 TLS 憑證內容的問題，確保 x509 主體別名 (SAN) 欄位包含所需的 ISO 物件識別碼 (OID) (AAP-37880)
    * 現在會在預檢角色執行期間驗證 TLS 憑證和金鑰檔案 (AAP-37845)
    * 修復預檢角色執行期間未驗證 Postgresql SSL 模式變數的問題 (AAP-37352)
    * 容器化安裝程式設定已更新至 2.5-8

    RPM-based Ansible Automation Platform
    * 修復將新的自動化集線器主機新增至升級後的環境而導致安裝失敗的問題 (AAP-38204)
    * 修復安裝程式 README.md 中文件連結損毀的問題 (AAP-37627)
    * 更新了 nginx 設定，現在可正確傳回 Event-Driven Ansible 事件資料流服務的 API 狀態 (AAP-32816)
    * ansible-automation-platform-installer 和安裝程式設定已更新至 2.5-7

    其他變更：
    * 於 RHEL 8 上安裝 ansible-core 時不會再安裝 python3-jmespath (AAP-18251)
    * 已將 ansible-core 更新至 2.16.14-2
    * automation-gateway 已更新至 2.5.20250115
    * 已將 python3.11-aiohttp 及其相依性更新至 3.10.11
    * 已將 python3.11-django-ansible-base 更新至 2.5.20250115
    * 已將 python3.11-galaxy-importer 更新至 0.4.27
    * 已將 python3.11-pulpcore 更新至 3.49.29

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
242337	Ubuntu 18.04 LTS / 20.04 LTS / 22.04 LTS / 24.04 LTS: AIOHTTP 弱點 (USN-7642-1)	Nessus	Ubuntu Local Security Checks	2025/7/18	2025/7/18	medium
214900	Debian dla-4041: python-aiohttp-doc - 安全性更新	Nessus	Debian Local Security Checks	2025/2/3	2025/8/18	medium
211645	aioHTTP < 3.10.11 要求走私	Nessus	Misc.	2024/11/20	2025/8/19	low
213265	RHEL 8 / 9Satellite 6.16.1 非同步更新 (中等) (RHSA-2024:11574)	Nessus	Red Hat Local Security Checks	2024/12/19	2025/8/18	low
212045	RHEL 8 / 9：Red Hat Ansible Automation Platform 2.5 產品安全性和錯誤修正更新 (中等) (RHSA-2024:10766)	Nessus	Red Hat Local Security Checks	2024/12/4	2025/8/18	low
214232	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 產品安全性和錯誤修正更新 (重要) (RHSA-2025:0340)	Nessus	Red Hat Local Security Checks	2025/1/15	2025/8/18	medium

偵測

搜尋 Plugin

medium

medium

low

low

low

medium