遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2024:10762 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：
    * automation-controller：dompurify：透過原型污染的 XSS 弱點 (CVE-2024-45801)
    * automation-controller：path-to-regexp：回溯規則運算式造成 ReDoS (CVE-2024-45296)
    * ansible-core：由於不當記錄導致 Ansible Vault 檔案中存在有敏感資訊洩漏問題 (CVE-2024-8775)
    * ansible-coreansible-core 使用者可讀取/寫入未經授權的內容 (CVE-2024-9902)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    自動化控制器的更新和修復：
    * 修正 rrule 間隔設為 HOURLY 或 MINUTELY 時，在錯誤時間執行的工作排程 (AAP-36573)
    * 已修正在工作輸出中顯示敏感資料的問題 (AAP-35582)
    * 透過此更新，您現在可以在 verbosity 大於 2 時儲存建構的清單 (AAP-35570)
    * 修正可將不相關工作標記為其他工作相依性的錯誤 (AAP-35310)
    * 新增從 Bitbucket Data Center 接收 webhooks 的支援，並新增回傳版本狀態的支援 (AAP-35013)
    * 當通知包含遺漏或 null 組織欄位時，通知清單不再出錯 (AAP-34051)
    * 修正 Thycotic Secret Server 認證表單欄位不符的問題 (AAP-31236)
    * 已將 automation-controller 更新至 4.5.13

    Receptor 的更新和修正：
    * 已修正造成 Receptor 執行階段不穩定錯誤的問題 (AAP-36477)
    * 已將 receptor 更新至 1.5.1

    installer 和 setup 的更新與修正：
    * 現在可以使用 'receptor_datadir' 變數設定 Receptor 資料目錄 (AAP-36699)
    * 已修正更新 Automation 控制器後，metrics-utility 命令無法執行的問題 (AAP-36567)
    * 修正資料庫中斷數分鐘後，分派程式服務進入 FATAL 狀態且無法處理新工作的問題 (AAP-36456)
    * 已修正在備份還原後造成資料庫中的 RBAC 出現不正確 ID 的問題 (AAP-35311)
    * 透過此更新，包含 CA 或金鑰資訊的 installer 工作會進行模糊處理 (AAP-27480)
    * 已將 installer 和 setup 更新至 2.4-8

    注意：2.4-8 installer 只能還原以 2.4-8 或更新版本建立的備份。請確保在升級至 2.4-8 或更新版本之前和之後進行備份。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - path-to-regexp 將路徑字串轉換為規則運算式。在某些情況下path-to-regexp 會輸出規則運算式導致效能降低。由於 JavaScript 是單執行緒且 regex 比對在主執行緒上執行因此不佳的效能會封鎖事件迴圈並導致 DoS。每當單一區段中有兩個參數且由句號 (.) 以外的字元分隔時就會產生錯誤的規則運算式。 0.1的使用者請升級至 0.1.10。其他所有使用者皆應升級至 8.0.0版。 (CVE-2024-45296)

請注意，Nessus 依賴供應商報告的套件存在。

遠端主機上執行的 Atlassian Confluence Server 版本受到 CONFSERVER-101480 公告中所提及的一個弱點影響。

  - path-to-regexp 將路徑字串轉換為規則運算式。在某些情況下path-to-regexp 會輸出規則運算式導致效能降低。由於 JavaScript 是單執行緒且 regex 比對在主執行緒上執行因此不佳的效能會封鎖事件迴圈並導致 DoS。每當您在單一區段中有兩個參數且由句號 (.) 以外的字元分隔時就會產生錯誤的規則運算式。 0.1的使用者請升級至 0.1.10。其他所有使用者皆應升級至 8.0.0版。 (CVE-2024-45296)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上執行的 Atlassian Jira Service Management Data Center and Server (Jira Service Desk) 版本受到 JSDSERVER-16485 公告中所提及的一個弱點影響。

  - path-to-regexp 將路徑字串轉換為規則運算式。在某些情況下path-to-regexp 會輸出規則運算式導致效能降低。由於 JavaScript 是單執行緒且 regex 比對在主執行緒上執行因此不佳的效能會封鎖事件迴圈並導致 DoS。每當您在單一區段中有兩個參數且由句號 (.) 以外的字元分隔時就會產生錯誤的規則運算式。 0.1的使用者請升級至 0.1.10。其他所有使用者皆應升級至 8.0.0版。 (CVE-2024-45296)

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端主機上安裝的 IBM Spectrum Protect Plus Web UI 版本比 10.1.17.1 IBM Spectrum Protect Plus 舊。因此會受到 7237702 公告中所提及的多個弱點影響。

  - Jinja 是可延伸的範本引擎。在 3.1.6 之前的版本中，疏忽了 Jinja 沙箱環境與 |attr 篩選器互動的方式，允許控制範本內容的攻擊者執行任意 Python 程式碼。若要惡意利用此弱點，攻擊者需要控制範本的內容。是否如此，取決於使用 Jinja 的應用程式類型。此弱點會影響執行未受信任範本的應用程式使用者。Jinja 的沙箱會擷取 str.format 呼叫，並確保其不會逸出沙箱。不過，可以使用屬性篩選器繞過沙箱，取得字串純格式方法的參照。在修復之後，attr 篩選器不會再繞過環境的屬性查閱。此弱點已在 3.1.6 中修正。
    (CVE-2025-27516)

  - 此問題會影響 9.0.0之前的套件 node-notifier。由於在傳遞陣列時未清理選項參數它可讓攻擊者在 Linux 機器上執行任意命令。 (CVE-2020-7789)

  - Requests 是一個 HTTP 程式庫。自 Requests 2.3.0 起，Requests 重新導向至 HTTPS 端點時會向目的地伺服器洩漏 Proxy-Authorization 標頭。這是我們使用 `rebuild_proxies` 將 `Proxy-Authorization` 標頭重新附加到要求的結果。對於透過通道傳送的 HTTP 連線，Proxy 會識別要求本身中的標頭，並在轉送至目的地伺服器之前將其移除。但在透過 HTTPS 傳送時，因為 Proxy 無法檢視通道要求，因而必須在 CONNECT 要求中傳送「Proxy-Authorization」標頭。這會導致 Requests 意外將 Proxy 憑證轉送至目的地伺服器，進而允許惡意執行者洩漏敏感資訊。此問題已在 2.31.0 版中修正。
    (CVE-2023-32681)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
212033	RHEL 8 / 9：Red Hat Ansible Automation Platform 2.4 產品安全性和錯誤修正更新 (中等) (RHSA-2024:10762)	Nessus	Red Hat Local Security Checks	2024/12/3	2025/10/24	medium
229239	Linux Distros 未修補的弱點：CVE-2024-45296	Nessus	Misc.	2025/3/5	2026/4/29	high
282324	Atlassian Confluence < 8.5.17 / 8.6.x < 9.2.6 / 9.3.1 < 9.4.0 / 9.5.x < 9.5.1 / 10.0.x < 10.0.2 (CONFSERVER-101480)	Nessus	CGI abuses	2026/1/7	2026/1/7	high
298004	Atlassian Jira Service Management Data Center and Server 10.2.x < 10.3.6 (JSDSERVER-16485)	Nessus	Misc.	2026/2/5	2026/2/5	high
240343	IBM Spectrum Protect Plus Web UI 10.1.0 < 10.1.17.1 (7237702)	Nessus	Misc.	2025/6/25	2026/3/11	medium

偵測

搜尋 Plugin

medium

high

high

high

medium