遠端 Redhat Enterprise Linux 7 主機上安裝的套件受到 RHSA-2018:2184 公告中提及的弱點影響。

  - ansible：失敗的工作不接受 no_log 選項，進而導緻密碼在記錄中洩漏 (CVE-2018-10855)

請注意，Nessus 並未測試此問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

在 Ansible (一種組態管理、部署和工作執行系統) 中發現數個弱點：- CVE-2018-10855/ CVE-2018-16876 未遵守 no_log task 旗標，進而導致資訊洩漏。- CVE-2018-10875 從目前的工作目錄中讀取 ansible.cfg。- CVE-2018-16837 使用者模組將傳遞給 ssh-keygen 的參數洩漏給處理程序環境。- CVE-2019-3828 擷取模組容易發生路徑遊走。

據發現，Ansible 未正確處理敏感資訊。本機攻擊者可利用這些弱點來擷取敏感資訊。(CVE-2017-7481) (CVE-2018-10855) (CVE-2018-16837) (CVE-2018-16876) (CVE-2019-10156)

據發現，Ansible 可從含有特製命令的目前工作目錄載入設定檔。攻擊者因此可執行任意程式碼。(CVE-2018-10874) (CVE-2018-10875)

據發現，Ansible 擷取模組有一個路徑遊走弱點。本機攻擊者可複製並覆寫指定目的地外的檔案。(CVE-2019-3828)。

請注意，Tenable Network Security 已直接從 Ubuntu 安全性公告擷取前述描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。

遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2018:2585 公告中提及的多個弱點影響。

  - ansible：失敗的工作不接受 no_log 選項，進而導緻密碼在記錄中洩漏 (CVE-2018-10855)

  - ansible：執行臨機命令時會從目前的工作目錄載入 Inventory 變數，進而導致程式碼執行 (CVE-2018-10874)

  - ansible：正在從目前的工作目錄讀取 ansible.cfg，可能導致程式碼執行 (CVE-2018-10875)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

修正數個錯誤並新增多個增強功能的 redhat-virtualization-host 更新版套件已可使用。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。redhat-virtualization-host 套件提供 Red Hat Virtualization Host。這些套件包含 redhat-release-virtualization-host、ovirt-node 和 rhev-hypervisor。Red Hat Virtualization Hosts (RHVH) 使用特別的 Red Hat Enterprise Linux 組建來安裝，其中僅包含主機虛擬機器所必須的套件。RHVH 提供 Cockpit 使用者介面，可用來監控主機的資源並執行系統管理作業。ovirt-node-ng 套件提供 Red Hat Virtualization Host。這些套件包含 redhat-release-virtualization-host、ovirt-node 和 rhev-hypervisor。Red Hat Virtualization Hosts (RHVH) 使用特別的 Red Hat Enterprise Linux 組建來安裝，其中僅包含主機虛擬機器所必須的套件。RHVH 提供 Cockpit 使用者介面，可用來監控主機的資源並執行系統管理作業。下列套件已升級至更新的上游版本：imgbased (1.0.20)、redhat-release-virtualization-host (4.2)、redhat-virtualization-host (4.2)。(BZ#1590664) 安全性修正：* ansible：失敗的作業未遵守 no_log 選項，導致在記錄中洩漏密碼 (CVE-2018-10855) 如需安全性問題的詳細資料，包括影響、CVSS 分數及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。Red Hat 感謝 Tobias Henkel (BMW Car IT GmbH) 報告此問題。錯誤修正：* 在之前，將系統設定為略過邏輯磁碟區管理員 (LVM) 叢集時，imgbased 會看到與被查詢之邏輯磁碟區不相關的輸出。因此，imgbased 無法剖析輸出，進而導致 Red Hat Virtualization Host 更新失敗。在此版本中，imgbased 現在會忽略已略過之叢集的輸出，以致能成功傳回 imgbased LVM 命令。(BZ#1568414) 增強功能：* 從 4.0 版開始，無法從 Satellite 部署 Red Hat Virtualization Host，因此無法利用 Satellite 的工具功能。在此版本中，可從 Satellite 6.3.2 和更新版本部署 Red Hat Virtualization Host。(BZ#1484532)

遠端 Redhat Enterprise Linux 7 主機上安裝的多個套件受到 RHSA-2019:0054 公告中提及的多個弱點影響。

  - ansible：失敗的工作不接受 no_log 選項，進而導緻密碼在記錄中洩漏 (CVE-2018-10855)

  - ansible：執行臨機命令時會從目前的工作目錄載入 Inventory 變數，進而導致程式碼執行 (CVE-2018-10874)

  - ansible：正在從目前的工作目錄讀取 ansible.cfg，可能導致程式碼執行 (CVE-2018-10875)

請注意，Nessus 並未測試這些問題，而是僅根據應用程式自我報告的版本號碼作出判斷。

現已提供適用於 RHEL 7 之 Red Hat Ansible Engine 2.4 的 ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。可用任何語言撰寫延伸模組，並可自動傳輸至受管理的機器。下列套件已升級至更新的上游版本：ansible (2.4.5)。安全性修正：* ansible：2.5 版的 Ansible 無法正確遵守 no_log 選項，導致工作反覆運算失敗。當提供密碼項目清單給工作，但工作反覆運算失敗時，即使啟用 no_log 選項，密碼還是會顯示在記錄中。(CVE-2018-10855) Red Hat 感謝 Tobias Henkel (BMW Car IT GmbH) 報告這些問題。錯誤修正：* 已修正 win_copy，當處理多個檔案時會保留全域 Ansible 本機 tmp 路徑，而非將其刪除 (https://github.com/ansible/ansible/pull/37964) * 已修正 Windows setup.ps1 在大型網域環境中緩慢的效能 (https://github.com/ansible/ansible/pull/38646) * 已修正在嘗試設定記錄目的地和設施時，發生的 eos_logging idempotency 問題 (https://github.com/ansible/ansible/pull/40604) * 已修正在嘗試設定記錄目的地和設施時，發生的 ios_logging idempotency 問題 (https://github.com/ansible/ansible/pull/41076) 請參閱 https://github.com/ansible/ansible/blob/v2.4.5.0-1/CHANGELOG.md 取得此版本的詳細資料。

現已提供適用於 RHEL 7 之 Red Hat Ansible Engine 2.5 的 ansible 更新。Red Hat 產品安全性團隊已將此更新評等為具有中等安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Ansible 是一種簡單的模組驅動組態管理、多重節點部署及遠端工作執行系統。Ansible 在 SSH 上運作，且不需要於遠端節點上安裝任何軟體或程序。可用任何語言撰寫延伸模組，並可自動傳輸至受管理的機器。下列套件已升級至更新的上游版本：ansible (2.5.5)。安全性修正：* ansible：2.5 版的 Ansible 無法正確遵守 no_log 選項，導致工作反覆運算失敗。當提供密碼項目清單給工作，但工作反覆運算失敗時，即使啟用 no_log 選項，密碼還是會顯示在記錄中。(CVE-2018-10855) Red Hat 感謝 Tobias Henkel (BMW Car IT GmbH) 報告這些問題。錯誤修正：* 將 admin_users 組態選項變更為預設不包含「admin」，因為 admin 常用於無權限帳號 (https://github.com/ansible/ansible/pull/41164) * aws_s3 - 新增非同步支援到動作外掛程式 (https://github.com/ansible/ansible/pull/40826) * aws_s3 - 修正解密保存庫檔案 (https://github.com/ansible/ansible/pull/39634) * ec2_ami - 將 device_mapping 磁碟區大小傳送到 int (https://github.com/ansible/ansible/pull/40938) * eos_logging - 修正冪等問題 (https://github.com/ansible/ansible/pull/40604) * 快取外掛程式 - 快取逾時為 0 表示快取不會過期。* ios_logging - 修正冪等問題 (https://github.com/ansible/ansible/pull/41029) * ios/nxos/eos_config - 當提供組態給 diff 時，不擷取 running_config 中的組態 (https://github.com/ansible/ansible/pull/41400) * nxos_banner - 修正多行橫幅問題 (https://github.com/ansible/ansible/pull/41026)。* nxos 終端外掛程式 - 修正輸出截斷 (https://github.com/ansible/ansible/pull/40960) * nxos_l3_interface - 修正回送和 svi 介面上沒有 switchport 的問題 (https://github.com/ansible/ansible/pull/37392)。* nxos_snapshot - 修正 compare_option (https://github.com/ansible/ansible/pull/41386) 請參閱 https://github.com/ansible/ansible/blob/v2.5.5/changelogs/CHANGELOG-v2 .5.rst，瞭解此版本的詳細資訊。

ID	名稱	產品	系列	已發布	已更新	嚴重性
194026	RHEL 7：CloudForms 4.6.3 更新 (中等) (RHSA-2018:2184)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	medium
122321	Debian DSA-4396-1：ansible - 安全性更新	Nessus	Debian Local Security Checks	2019/2/20	2024/6/19	high
127043	Ubuntu 16.04 LTS / 18.04 LTS：Ansible 弱點 (USN-4072-1)	Nessus	Ubuntu Local Security Checks	2019/7/25	2024/8/27	critical
194011	RHEL 7：ansible (RHSA-2018:2585)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	high
110885	RHEL 7：Virtualization Manager (RHSA-2018:2079)	Nessus	Red Hat Local Security Checks	2018/7/3	2024/9/6	medium
194068	RHEL 7：ansible (RHSA-2019:0054)	Nessus	Red Hat Local Security Checks	2024/4/27	2024/6/3	high
110794	RHEL 7：ansible (RHSA-2018:2022)	Nessus	Red Hat Local Security Checks	2018/6/29	2024/9/10	medium
110654	RHEL 7：ansible (RHSA-2018:1949)	Nessus	Red Hat Local Security Checks	2018/6/22	2024/9/17	medium

偵測

搜尋 Plugin

medium

high

critical

high

medium

high

medium

medium