遠端 Debian 11 主機上安裝的一個套件受到 dla-3963 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian LTS 公告 DLA-3963-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Bastien Roucaris 2024 年 11 月 23 日https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件：ansible 版本： 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2 CVE ID： CVE-2024-8775 CVE-2024-9902 Debian 錯誤： 1082851

    Ansible 是一種命令行 IT 自動化軟體應用程式。
    它可以設定系統、部署軟體，並且協調進階工作流程，以支援應用程式部署、系統更新、...

    Ansible 受到兩個弱點影響：

    CVE-2024-8775

        在 Ansible 中發現一個缺陷，導致儲存在 Ansible Vault 檔案中的敏感資訊在執行教戰守則期間會以純文字洩漏。在未設定 no_log: true 參數的情況下，使用 include_vars 之類的任務載入受保護的變數時，會發生此情況，進而導致在教戰守則輸出或記錄中列印敏感資料。如此可能導致例如密碼或 API 金鑰等機密意外洩漏，進而危及安全性，並可能允許未經授權的存取或動作。

    CVE-2024-9902

        當特權使用者針對無特權使用者的主目錄執行「user」模組時，ansible-core「user」模組可允許無特權使用者以無訊息模式建立或取代任何系統路徑上任何檔案的內容，並取得該檔案的擁有權。
        如果無特權使用者對於包含遭惡意利用的目標檔案的目錄上擁有遊走權限，則以擁有者身分保留對檔案內容的完整控制權。

    針對 Debian 11 Bullseye，這些問題已在 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2 版本中修正。

    建議您升級 ansible 套件。

    如需有關 ansible 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/ansible

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Azure Linux 3.0 主機上安裝的 ansible 版本比測試版舊。因此，此版本會受到 CVE-2024-9902 公告中提及的一個弱點影響。

  - 在 Ansible 中發現一個缺陷。當特權使用者針對無特權使用者的主目錄執行「user」模組時，ansible-core「user」模組可允許無特權使用者以無訊息模式建立或取代任何系統路徑上任何檔案的內容，並取得該檔案的擁有權。如果非特權使用者對於包含遭惡意利用的目標檔案的目錄上擁有遊走權限，則以擁有者身分保留對檔案內容的完整控制權。(CVE-2024-9902)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，此版本會受到 ALAS2023-2025-918 公告中提及的一個弱點影響。

    在 Ansible 中發現一個缺陷。當特權使用者針對無特權使用者的主目錄執行「user」模組時，ansible-core「user」模組可允許無特權使用者以無訊息模式建立或取代任何系統路徑上任何檔案的內容，並取得該檔案的擁有權。如果非特權使用者對於包含遭惡意利用的目標檔案的目錄上擁有遊走權限，則以擁有者身分保留對檔案內容的完整控制權。(CVE-2024-9902)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2025:1861 公告中提及的多個弱點影響。

    基於 python 3.9 的 OpenStack ansible-core 重建。

    安全性修正：

    * 透過惡意檔案名稱可以突破 Jinja 的沙箱限制 (CVE-2024-56201)

    * 透過間接參照格式方法可以突破 Jinja 的沙箱限制 (CVE-2024-56326)

    * Ansible-core 使用者可讀取/寫入未經授權的內容 (CVE-2024-9902)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的多個套件受到 RHSA-2024:9894 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * ansible-core：由於不當記錄導致 Ansible Vault 檔案中存在有敏感資訊洩漏問題 (CVE-2024-8775)
    * ansible-core：ansible-core 使用者可讀取/寫入未經授權的內容 (CVE-2024-9902)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    包含的更新和修正：

    Automation Platform UI
    * 修正篩選出目錄群組上的主機 (AAP-34752)
    * automation-gateway 已更新至 2.5.3-2

    容器型 Ansible Automation Platform
    * 修正未在 gateway_main_url 變數中定義連接埠值時的問題 (AAP-34716)
    * 使用預設值時不將連接埠新增至影像 URL (AAP-34070)
    * 容器化安裝程式設定已更新至 2.5-4

    RPM-based Ansible Automation Platform
    * 修正設定多個集線器節點時未正確設定 gpg 代理程式通訊端的問題 (AAP-34067)
    * ansible-automation-platform-installer 和安裝程式設定已更新至 2.5-5

    其他變更：
    * 已將 ansible-core 更新至 2.16.13
    * molecule 已更新至 24.9.0-2

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的多個套件受到 RHSA-2024:10762 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：
    * automation-controller：dompurify：透過原型污染的 XSS 弱點 (CVE-2024-45801)
    * automation-controller：path-to-regexp：回溯規則運算式造成 ReDoS (CVE-2024-45296)
    * ansible-core：由於不當記錄導致 Ansible Vault 檔案中存在有敏感資訊洩漏問題 (CVE-2024-8775)
    * ansible-core：ansible-core 使用者可讀取/寫入未經授權的內容 (CVE-2024-9902)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    自動化控制器的更新和修復：
    * 修正 rrule 間隔設為 HOURLY 或 MINUTELY 時，在錯誤時間執行的工作排程 (AAP-36573)
    * 已修正在工作輸出中顯示敏感資料的問題 (AAP-35582)
    * 透過此更新，您現在可以在 verbosity 大於 2 時儲存建構的清單 (AAP-35570)
    * 修正可將不相關工作標記為其他工作相依性的錯誤 (AAP-35310)
    * 新增從 Bitbucket Data Center 接收 webhooks 的支援，並新增回傳版本狀態的支援 (AAP-35013)
    * 當通知包含遺漏或 null 組織欄位時，通知清單不再出錯 (AAP-34051)
    * 修正 Thycotic Secret Server 認證表單欄位不符的問題 (AAP-31236)
    * 已將 automation-controller 更新至 4.5.13

    Receptor 的更新和修正：
    * 已修正造成 Receptor 執行階段不穩定錯誤的問題 (AAP-36477)
    * 已將 receptor 更新至 1.5.1

    installer 和 setup 的更新與修正：
    * 現在可以使用 'receptor_datadir' 變數設定 Receptor 資料目錄 (AAP-36699)
    * 已修正更新 Automation 控制器後，metrics-utility 命令無法執行的問題 (AAP-36567)
    * 修正資料庫中斷數分鐘後，分派程式服務進入 FATAL 狀態且無法處理新工作的問題 (AAP-36456)
    * 已修正在備份還原後造成資料庫中的 RBAC 出現不正確 ID 的問題 (AAP-35311)
    * 透過此更新，包含 CA 或金鑰資訊的 installer 工作會進行模糊處理 (AAP-27480)
    * 已將 installer 和 setup 更新至 2.4-8

    注意：2.4-8 installer 只能還原以 2.4-8 或更新版本建立的備份。請確保在升級至 2.4-8 或更新版本之前和之後進行備份。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
211754	Debian dla-3963 : ansible - 安全性更新	Nessus	Debian Local Security Checks	2024/11/24	2024/11/24	medium
241882	Azure Linux 3.0 安全性更新ansible (CVE-2024-9902)	Nessus	Azure Linux Local Security Checks	2025/7/11	2025/7/11	medium
233701	Amazon Linux 2023：ansible-core、ansible-test (ALAS2023-2025-918)	Nessus	Amazon Linux Local Security Checks	2025/4/1	2025/4/1	medium
216778	RHEL 9：Red Hat OpenStack Platform 17.1.4 (openstack-ansible-core) (RHSA-2025:1861)	Nessus	Red Hat Local Security Checks	2025/2/25	2025/6/18	medium
211764	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 產品版本更新 (中等) (RHSA-2024:9894)	Nessus	Red Hat Local Security Checks	2024/11/24	2024/11/24	medium
212033	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 產品安全性和錯誤修正更新 (中等) (RHSA-2024:10762)	Nessus	Red Hat Local Security Checks	2024/12/3	2024/12/3	high

偵測

搜尋 Plugin

medium

medium

medium

medium

medium

high