The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - Versions of the package sidekiq before 7.1.3 are vulnerable to Denial of Service (DoS) due to insufficient     checks in the dashboard-charts.js file. An attacker can exploit this vulnerability by manipulating the     localStorage value which will cause excessive polling requests. (CVE-2023-26141)

Note that Nessus relies on the presence of the package as reported by the vendor.

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 7.1.3 より前のバージョンの sidekiq パッケージは、dashboard-charts.js ファイルでのチェックが不十分なため、サービス拒否（DoS）に対して脆弱です。攻撃者はこの脆弱性を悪用し、localStorageの値を操作して過剰なポーリングリクエストを引き起こす可能性があります。 （CVE-2023-26141）

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The remote Redhat Enterprise Linux 8 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2024:0797 advisory.

    Red Hat Satellite is a system management solution that allows organizations     to configure and maintain their systems without the necessity to provide     public Internet access to their servers or other client systems. It     performs provisioning and configuration management of predefined standard     operating environments.

    Security fix(es):
    * CVE-2023-26049 (puppetserver): Cookie parsing of quoted values can exfiltrate values from other cookies
    * CVE-2023-26141 (rubygem-sidekiq): Denial of Service (DoS) in dashboard-charts
    * CVE-2023-36479 (puppetserver): Improper addition of quotation marks to user inputs in CgiServlet
    * CVE-2023-38545 (puppet-agent): Heap-based buffer overflow in the SOCKS5 proxy handshake
    * CVE-2023-40167 (puppetserver): Improper validation of HTTP/1 content-length
    * CVE-2023-40175 (rubygem-puma): HTTP request smuggling when parsing chunked transfer encoding bodies and     zero-length content-length headers
    * CVE-2023-4785 (rubygem-grpc): File descriptor exhaustion leads to denial of service
    * CVE-2023-0809, CVE-2023-28366, CVE-2023-3592 (mosquitto): Memory leak leads to unresponsive broker

    This update fixes the following bugs:
    2250347 - 'Sun, 11 Jun 2023 17:51:29 GMT' could not be parsed at index 0 at     java.time.format.DateTimeFormatter.parseResolved     2254974 - satellite-convert2rhel-toolkit install fails on latest rpm with `/usr/bin/bash:
    /usr/libexec/satellite-convert2rhel-appliance/action-install.sh: No such file or directory`     2255260 - 6.14 - satellite-convert2rhel-toolkit is part of the satellite module     2257321 - Request for UEFI Kickstart Provisioning to handle naming convention for VLAN tagged interfaces     of the format <parent_device>.<vlan_id> in addition to vlan<vlan_id>     2257324 - Generate applicability tasks fails with error ERROR: insert or update on table     katello_content_facet_errata violates foreign key constraint katello_content_facet_errata_ca_id     2257326 - Show failed resources in failed installation report     2257327 - Puppet reports without any messages don't get an origin     2257329 - Host registration fails with error Attached to can't be blank when the VLAN name includes     UPPERCASE letters     2257330 - default tuning profile leaves httpd MaxClients 150 which httpd raises a warning     2257331 - Registering host through load balancer causes REX not to know what capsule to choose for     'registered_through'     2257332 - Registration can't find any Capsules when their locations are not assigned to admin user     2257415 - Provisioning vm host fails with error Failed to attach ISO image to CDROM drive of instance     client.example.com: InvalidPowerState: The attempted operation cannot be performed in the current state     (Powered on).
    2260525 - [Improvement] RefreshRepos step in Capsule Sync to refresh just repos to sync     2262131 - Unable to sync library/busybox from gcr.io

    Users of Red Hat Satellite are advised to upgrade to these updated     packages, which fix these bugs.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - 7.1.3 之前的套件sidekiq 版本容易受到拒絕服務 (DoS) 影響，這是因為在 dashboard-charts.js 檔案中的檢查不足所致。攻擊者可惡意利用此弱點，操控 localStorage 值，進而造成過多的輪詢要求。 (CVE-2023-26141)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 由于 dashboard-charts.js 文件中的检查不足，低于 7.1.3 的程序包 sidekiq 版本容易受到拒绝服务 (DoS) 的影响。攻击者可通过操纵 localStorage 值来利用此漏洞，这将导致过量轮询请求。 (CVE-2023-26141)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

远程 Redhat Enterprise Linux 8 主机上安装的程序包受到 RHSA-2024:0797 公告中提及的多个漏洞影响。

    Red Hat Satellite 是一个系统管理解决方案，它使组织能够配置和维护其系统，而无需为自身服务器或其他客户端系统提供公共 Internet 访问。该解决方案可执行预定义标准操作环境的设置和配置管理。

    安全修复：
    * CVE-2023-26049 (puppetserver)：解析引用值的 Cookie 可泄露其他 Cookie 中的值
    * CVE-2023-26141 (rubygem-sidekiq)：dashboard-charts 中的拒绝服务 (DoS)
    * CVE-2023-36479 (puppetserver)：向 CgiServlet 中的用户输入添加不正确的引号
    * CVE-2023-38545 (puppetserver)：SOCKS5 代理握手中存在基于堆的缓冲区溢出漏洞
    * CVE-2023-40167 (puppetserver)：不当验证 HTTP/1 content-length
    * CVE-2023-40175 (rubygem-puma)：解析分块传输编码正文和零长度内容长度标头时，HTTP 请求走私
    * CVE-2023-4785 (rubygem-grpc)：文件描述符耗尽导致拒绝服务
    * CVE-2023-0809、CVE-2023-28366、CVE-2023-3592 (mosquitto)：内存泄漏导致代理不响应

    此更新修复了以下缺陷：
    2250347 - 在 java.time.format.DateTimeFormatter.parseResolved 的索引 0 上无法解析“Sun, 11 Jun 2023 17:51:29 GMT”2254974 - satellite-convert2rhel-toolkit 在带有“/usr/bin”的最新 rpm 上安装失败/bash：
    2255260 - 6.14 - satellite-convert2rhel-toolkit 是 satellite-convert2rhel-appliance/action-install.sh：此文件或目录是 satellite-convert2rhel-toolkit 的一部分 2257321 - 请求 UEFI Kickstart 配置以处理命名约定适用于格式 <parent_device> 的 VLAN 标记接口。<vlan_id> 除了 vlan <vlan_id> 2257324 - 生成适用性任务失败，并出现错误错误：在表 katello_content_facet_errata 上插入或更新违反外键限制 katello_content_facet_errata_ca_id 2257326 - 在失败安装报告中显示失败的资源 2257327 - 不包含任何消息的 Puppet 报告不会获得源 2257329 - 当 VLAN 名称包含大写字母时，主机注册会出现错误“Added to cannot be blank” 2257330 - 默认调整配置文件离开 httpd MaxClients 150，而 httpd 会发出警告 2257331 - 通过负载平衡器注册主机导致 REX 不知道是什么封装体为“registered_through”进行选择 2257332 - 当其位置未分配给 admin 用户时，注册无法找到任何 Capsule 2257415 - 置备 vm 主机失败并显示错误 Failed to attach ISO image to CDROM drive of instance client.example.com: InvalidPowerState：无法在当前状态（已开机）下执行尝试的操作。
    2260525 - [改进] Capsule Sync 中的 RefreshRepos 步骤进行刷新，仅 repos 进行同步 2262131 - 无法从 gcr.io 同步 library/busybox

    建议 Red Hat Satellite 用户升级至这些更新后的程序包，其中修复了这些问题。

Tenable 已直接从 Red Hat Enterprise Linux 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

リモート Redhat Enterprise Linux 8 ホストに、RHSA-2024:0797 アドバイザリに記載されている脆弱性の影響を受けるパッケージがインストールされています。

    Red Hat Satellite はシステム管理ソリューションです。これを使用することで組織は、組織のサーバーやその他クライアントシステムにパブリックインターネットアクセスを提供することなく、システムの設定や維持を行うことができるようになります。また、このソリューションは、事前に定義された標準のオペレーティング環境のプロビジョニングや構成管理も行います。

    セキュリティ修正プログラム:
    * CVE-2023-26049 (puppetserver): 引用された値のクッキー解析により、他のクッキーから値が抽出される可能性があります
    * CVE-2023-26141 (rubygem-sidekiq): dashboard-charts でのサービス拒否 (DoS)
    * CVE-2023-36479 (puppetserver): CgiServlet のユーザー入力への引用符の不適切な追加
    * CVE-2023-38545 (puppet-agent): SOCKS5 プロキシハンドシェイクのヒープベースのバッファオーバーフロー
    * CVE-2023-40167 (puppetserver): HTTP/1 content-length の不適切な検証
    * CVE-2023-40175 (rubygem-puma):チャンク転送エンコーディング本体および長さゼロの content-length ヘッダーを解析する際の HTTP リクエストスマグリング
    * CVE-2023-4785 (rubygem-grpc): ファイル記述子の枯渇によりサービス拒否が引き起こされます
    * CVE-2023-0809, CVE-2023-28366, CVE-2023-3592 (mosquitto): メモリリークによりブローカーが応答しなくなります

    この更新は次のバグを修正します:
    2250347 - 「Sun, 11 Jun 2023 17:51:29 GMT」を java.time.format.DateTimeFormatter.parseResolved のインデックス 0 で解析できませんでした 2254974 - satellite-convert2rhel-toolkit のインストールが最新の rpm ( `/usr/bin/bash: 
    /usr/libexec/satellite-convert2rhel-appliance/action-install.sh: No such file or directory`) で失敗します。2255260 - 6.14 - satellite-convert2rhel-toolkit は、Satellite モジュールの一部です。2257321 - vlan<vlan_id> に加え、VLAN タグ付きインターフェース <parent_device>.<vlan_id> 形式の命名規則を処理するために UEFI キックスタートプロビジョニングをリクエストします。2257324 - 適用可能なタスクの生成が 「ERROR: insert or update on table katello_content_facet_errata violates foreign key constraint katello_content_facet_errata_ca_id 」で失敗します。2257326 - インストール失敗レポートで失敗したリソースを表示します。2257327 - メッセージなしの Puppet レポートでは生成元を取得できません。2257329 - VLAN 名に大文字がある場合はアタッチ先を空白にできないエラーによってホスト登録が失敗します。2257330 - デフォルトの調整プロファイルでは、httpd MaxClients は httpd が警告を生成する 150 になります。2257331 - ロードバランサーを介してホストを登録すると、REX は「registered_through」にどのカプセルを選択するかを判断できなくなります。2257332 - 場所が管理ユーザーに割り当てられていない場合、登録ではカプセルを検索できません。2257415 - vm ホストのプロビジョニングは、エラー 「Failed to attach ISO image to CDROM drive of instance client.example.com: InvalidPowerState: The attempted operation cannot be performed in the current state (Powered on)」で失敗します。
    2260525 - [改善] 同期のためにリポジトリのみを更新する Capsule Sync の RefreshRepos ステップ。2262131 - gcr.io から library/busybox を同期できません

    カーネルのユーザーは、これらの更新済みのパッケージへアップグレードし、これらのバグを修正することが推奨されます。

Tenable は、前述の記述ブロックを Red Hat Enterprise Linux セキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

遠端 Redhat Enterprise Linux 8 主機上安裝的多個套件受到 RHSA-2024:0797 公告中提及的多個弱點影響。

    Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

    安全性修正：
    * CVE-2023-26049 (puppetserver)：引用值的 Cookie 剖析可從洩漏其他 Cookie 中的值
    * CVE-2023-26141 (rubygem-sidekiq)：dashboard-charts 中發生拒絕服務 (DoS)
    * CVE-2023-36479 (puppetserver)：不當將引號新增至 CgiServlet 中的使用者輸入
    * CVE-2023-38545 (puppet-agent)：SOCKS5 proxy 交握中的堆積型緩衝區溢位。
    * CVE-2023-40167 (puppetserver)：不當驗證 HTTP/1 content-length
    * CVE-2023-40175 (rubygem-puma)：剖析區塊傳輸編碼內文和零長度 content-length 標頭時發生 HTTP 要求走私問題
    * CVE-2023-4785 (rubygem-grpc)：檔案描述符號耗盡導致拒絕服務
    * CVE-2023-0809、CVE-2023-28366、CVE-2023-3592 (mosquitto)：記憶體洩漏導致代理人無回應

    此更新可修正下列錯誤：
    2250347 - 'Sun, 11 Jun 2023 17:51:29 GMT' 無法在 java.time.format.DateTimeFormatter.parseResolved 的索引 0 處剖析 2254974 - satellite-convert2rhel-toolkit 包含 `/usr/bin/bash:
    /usr/libexec/satellite-convert2rhel-appliance/action-install.sh 的最新 rpm 的安裝失敗：沒有此類檔案或目錄 ` 2255260 - 6.14 - satellite-convert2rhel-toolkit 屬於 Satellite 模組 2257321 - 要求 UEFI Kickstart Provisioning 處理命名慣例適用於格式 <parent_device>的 VLAN 標記介面。<vlan_id> 除了 vlan<vlan_id> 2257324 - 產生適用性工作失敗，並出現錯誤 錯誤：在表格 katello_content_facet_errata 上插入或更新違反外部金鑰限制 katello_content_facet_errata_ca_id 2257326 - 在失敗的安裝報告中顯示失敗的資源 2257327 - 不含任何訊息的 Puppet 報告不會獲得來源 2257329 - 當 VLAN 名稱包含「大寫字母」時，主機註冊失敗，並出現錯誤「附加至」不能為空白 2257330 - 預設調整設定檔保留 httpd MaxClients 150，這會讓 httpd 產生警告 2257331 - 透過負載平衡器註冊主機造成 REX 不清楚要為 'registered_through' 選擇何種 capsule 2257332 - 當 Capsule 的位置未指派給系統管理員使用者時，註冊時找不到任何 Capsule 2257415 - 佈建 vm 主機失敗，並出現錯誤 無法將 ISO 影像附加到執行個體 client.example.com 的 CDROM 磁碟機：InvalidPowerState：在目前的狀態 (開機) 下無法執行嘗試的作業。
    2260525 - [改善] Capsule Sync 中的 RefreshRepos 步驟，重新整理 repos 以同步 2262131 - 無法從 gcr.io 同步程式庫/busybox

    建議 Red Hat Satellite 使用者皆升級至這些更新版套件，這些套件可修正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
226135	Linux Distros Unpatched Vulnerability : CVE-2023-26141	Nessus	Misc.	2025/3/5	2025/3/5	medium
226135	Linux Distros のパッチ未適用の脆弱性: CVE-2023-26141	Nessus	Misc.	2025/3/5	2025/3/5	medium
194396	RHEL 8 : Satellite 6.14.2 Async Security Update (Important) (RHSA-2024:0797)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/11	high
226135	Linux Distros 未修補弱點：CVE-2023-26141	Nessus	Misc.	2025/3/5	2025/3/5	medium
226135	Linux Distros 未修补的漏洞: CVE-2023-26141	Nessus	Misc.	2025/3/5	2025/3/5	medium
194396	RHEL 8：Satellite 6.14.2 异步安全更新（重要） (RHSA-2024:0797)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/11	high
194396	RHEL 8 : Satellite 6.14.2 Async のセキュリティ更新 (重要度高) (RHSA-2024:0797)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/11	high
194396	RHEL 8：Satellite 6.14.2 Async Security Update (重要) (RHSA-2024:0797)	Nessus	Red Hat Local Security Checks	2024/4/28	2024/11/11	high

偵測

搜尋 Plugin

medium

medium

high

medium

medium

high

high

high