遠端主機受到 GLSA-201701-77 中所述的弱點影響 (Ansible：遠端任意程式碼執行) 在 Ansible 處理自用戶端系統傳送而來的資料的方式中，發現輸入驗證弱點。影響：若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼這名攻擊者就可憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。因應措施：目前尚無已知的因應措施。

現已提供適用於 Red Hat Storage Console 2 的 ansible 與 ceph-ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Ceph-ansible 套件提供用於安裝、維護及升級 Red Hat Ceph Storage 的 Ansible 劇本。Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。可用任何語言撰寫延伸模組，並可自動傳輸至受管理的機器。下列套件已升級至更新的上游版本：ceph-installer (1.2.2)、ansible (2.2.1.0)、python-passlib (1.6.5)、ceph-ansible (2.1.9)。(BZ#1405630) 安全性修正：* 在 Ansible 處理來自用戶端系統的資料的方式中，發現一個輸入驗證弱點。若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼這名攻擊者就可利用此缺陷，憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。(CVE-2016-9587) 錯誤修正：* 以前，ceph-ansible 公用程式會永久停用 swap 分割區。完成此更新後，ceph-ansible 無法再停用 swap。(BZ# 1364167) * 以前，ceph-ansible 公用程式不支援新增已加密 OSD 節點的作業。因此，在已加密 OSD 節點上嘗試升級至更新、次要或主要版本時，會以失敗作收。此外，Ansible 會在磁碟啟動期間，傳回下列錯誤訊息：裝載：不明檔案系統類型「crypto_LUKS」。完成此更新後，ceph-ansible 支援新增已加密 OSD 節點的作業，且可如預期進行升級。(BZ#1366808) * 由於基礎原始程式碼中有錯誤，導致在某些情況下，ceph-ansible 公用程式會在複製 roundep 工作時失敗。因此，安裝處理程序並未順利完成。此錯誤已修正，安裝作業現已可如預期進行。(BZ#1382878) * 以前，使用 ceph-ansible 安裝時，會在進行「修正分割區 gpt 標頭或日誌裝置標籤」工作時失敗 (以 ceph-osd 角色)，這是因為變數為空。基礎原始程式碼已完成修改，在此情況下，安裝作業不再失敗。(BZ# 1400967) * 以前，由 ceph-ansible 公用程式執行的 Red Hat Console Agent 設定作業僅支援使用 Content Delivery Network (CDN) 進行安裝。以 ISO 檔案或本機 Yum 存放庫進行安裝皆以失敗作收。完成此更新後，所有安裝作業皆可順利完成。(BZ#1403576) * 以前，ceph-ansible 公用程式無法用已加密 OSD 裝置清除叢集，因為基礎 ceph-disk 公用程式無法透過使用「--zap-disk」選項，將已加密裝置上的分割區表格銷毀。基礎原始程式碼已完成修正，讓 ceph-disk 可在已加密裝置上使用「--zap-disk」選項。因此，ceph-ansible 可如預期使用已加密 OSD 裝置清除叢集。(BZ #1414647) * 以前，用使用 IPv6 定址的節點建立 Ceph 叢集時，ceph-ansible 會把「ms bind ipv6」金鑰新增至 Ceph 組態檔，但並未對其指派任何值。在叢集建立後剖析組態檔時，會因此行為導致錯誤。我們已在此更新中正確設定 Ceph 組態檔內的「ms bind ipv6」金鑰，以便對使用 IPv6 定址的叢集進行正確的組態檔剖析。(BZ#1419814) 增強功能：* ceph-ansible 公用程式現已支援用戶端角色。這個新的角色可供您透過使用 Ansible 來安裝 Ceph 用戶端及部署節點，以依據 Ceph 叢集執行測試。(BZ#1384622) * ceph-installer API 現已支援安裝日誌在相同裝置上的 OSD 節點。(BZ#1412867)

現已提供適用於 RHEV Engine 4.1 版的 ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。可用任何語言撰寫延伸模組，並可自動傳輸至受管理的機器。下列套件已升級至更新的上游版本：ansible (2.3.0.0)。(BZ#1446527) 安全性修正：* 在 Ansible 處理來自用戶端系統的資料的方式中，發現一個輸入驗證弱點。若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼這名攻擊者就可利用此缺陷，憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。(CVE-2016-9587) * 在 Ansible 處理自用戶端系統傳送而來的資料的方式中，發現輸入驗證弱點。若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼這名攻擊者就可利用此缺陷，憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。(CVE-2017-7466) * 在 Ansible 的 mysql_user 模組中發現輸入驗證弱點，在某些情況下可導致無法正確變更密碼。因此，雖然密碼應已變更，但之前的密碼仍然有效。(CVE-2016-8647) CVE-2017-7466 問題是由 Evgeni Golov (Red Hat) 所發現。

現已提供適用於 Red Hat OpenShift Container Platform 3.2、Red Hat OpenShift Container Platform 3.3 和 Red Hat OpenShift Container Platform 3.4 的 ansible 與 openshift-ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有重要安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift Container Platform 是該公司的雲端運算平台即服務 (PaaS) 解決方案，專門針對內部部署或私有雲端部署而設計。Ansible 是一個 SSH 型組態管理、部署和工作執行系統。openshift-ansible 套件含有 Ansible 程式碼和劇本，可安裝並升級 OpenShift Container Platform 3。安全性修正：* 在 Ansible 處理來自用戶端系統的資料的方式中，發現一個輸入驗證弱點。若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼這名攻擊者就可利用此缺陷，憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。(CVE-2016-9587) 錯誤修正：因空間所限，無法在此公告中記錄所有非安全性錯誤修正。請參閱〈參照〉一節連結的相關 OpenShift Container Platform 版本資訊，此版本不久將更新此版本資訊。

遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2017:0260 公告中提及的弱點影響。

    Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。可用任何語言撰寫延伸模組，並可自動傳輸至受管理的機器。

    gdeploy 套件提供 Ansible 模組，以便安裝及設定 GluterFS。

    安全性修正：

    * 在 Ansible 處理自用戶端系統傳送而來的資料的方式中，發現輸入驗證弱點。若攻擊者可控制以 Ansible 管理的用戶端系統，並可將事實傳回到 Ansible 伺服器，那麼該名攻擊者就可利用此缺陷，憑藉 Ansible 伺服器權限在 Ansible 伺服器上執行任意程式碼。(CVE-2016-9587)

    錯誤修正：

    * 以前，若未安裝 SELinux Policy Management 工具，gdeploy 不會顯示任何錯誤。
    因此，SELinux 內容也就處於未設定狀態。在此更新中，若機器上未安裝 SELinux Policy Management 工具，gdeploy 就會擲回錯誤。(BZ#1340038)

    * 此更新採用了適用 glusterfs 服務的 Slice Unit 組態功能來整理階層，以在特定記憶體內阻擋處理程序，即 cpu 限制。此功能可確保 Red Hat Gluster Storage 的系統單元會在指定的 Slice 內啟動。若要設定 Slice，請將下列參數新增到設定檔中：slice_setup=yes (BZ#1349790)

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
96915	GLSA-201701-77：Ansible：遠端任意程式碼執行	Nessus	Gentoo Local Security Checks	2017/2/1	2021/1/11	high
97792	RHEL 7：ansible (RHSA-2017:0515)	Nessus	Red Hat Local Security Checks	2017/3/17	2019/10/24	high
112261	RHEL 7：ansible (RHSA-2017:1685)	Nessus	Red Hat Local Security Checks	2018/9/4	2024/8/12	high
119387	RHEL 7：ansible 與 openshift-ansible (RHSA-2017:0448)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/7/17	high
97062	RHEL 7：ansible 與 gdeploy (RHSA-2017:0260)	Nessus	Red Hat Local Security Checks	2017/2/8	2025/3/20	high

偵測

搜尋 Plugin

high

high

high

high

high