遠端 Redhat Enterprise Linux 9 主機上安裝的套件受到 RHSA-2024:9977 公告中提及的一個弱點影響。

    與 pathlib 相容的 Zipfile 物件包裝函式。Path 物件的向後移植。

    安全性修正：

    * 在 jaraco/zipp 中，因建構的 zip 檔案引起的拒絕服務 (無限迴圈) (CVE-2024-5569)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2024:6428 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * automation-controller：Django：QuerySet.values() 和 values_list() 中潛在的 SQL 插入弱點 (CVE-2024-42005)
    * automation-controller：Django：django.utils.html.urlize() 和 AdminURLFieldWidget 中潛在的拒絕服務弱點 (CVE-2024-41991)
    * automation-controller：Django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-41990)
    * automation-controller：python-jose：OpenSSH ECDSA 金鑰和其他金鑰格式的演算法混淆 (CVE-2024-33663)
    * automation-controller：python-social-auth：social-auth-app-django 中的大小寫區分處理不當 (CVE-2024-32879)
    * automation-controller：透過 Container Group 的工作執行來取得 k8s API 伺服器的存取權 (CVE-2024-6840)
    * python3/python39-django：QuerySet.values() 和 values_list() 中潛在的 SQL 插入弱點 (CVE-2024-42005)
    * python3/python39-django：django.utils.html.urlize() 和 AdminURLFieldWidget 中潛在的拒絕服務弱點 (CVE-2024-41991)
    * python3/python39-django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-41990)
    * python3/python39-django：django.utils.numberformat.floatformat() 中的記憶體耗盡弱點 (CVE-2024-41989)
    * python3/python39-django：django.utils.translation.get_supported_language_variant() 中潛在的拒絕服務弱點 (CVE-2024-39614)
    * python3/python39-django：django.core.files.storage.Storage.save() 中潛在的目錄遊走弱點 (CVE-2024-39330)
    * python3/python39-django：透過時間差對密碼無法使用的使用者列舉使用者名稱 (CVE-2024-39329)
    * python3/python39-django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-38875)
    * python3/python39-grpcio：與 HTTP/2 Proxy 通訊的用戶端可毒害 Proxy 和後端之間的 HPACK 表格 (CVE-2024-7246)
    * python3/python39-zipp：透過特製的 zip 檔案造成拒絕服務 (無限迴圈) (CVE-2024-5569)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    自動化控制器的更新和修復：
    * 將接收器更新為當 RECEPTOR_KEEP_WORK_ON_ERROR 設定為 true 時不會自動釋放接收器工作單位 (AAP-27635)
    * 已更新 REST API 中的「說明」連結，使其指向最新的 API 參照說明文件 (AAP-27573)
    * 修正嘗試載入 Activity Stream 時 UI 中的逾時錯誤 (AAP-26772)
    * 已將 automation-controller 更新至 4.5.10

    自動化中樞的更新和修復：
    * API 瀏覽器現可正確逸出 JSON 值 (AAH-3272、AAP-14463)
    * 已將 python3/python39-pulpcore 更新至 3.28.31
    * 已將 python3/python39-pulp-ansible 更新至 0.20.8

    其他修正：
    * Gunicorn python 套件在檢查或套用更新時不會再自行淘汰 (AAP-28364)
    * 已將 python3/python39-django 更新至 4.2.15
    * 已將 python3/python39-grpcio 更新至 1.58.3
    * 已將 python3/python39-jmespath 更新至 0.10.0-5
    * 已將 python3/python39-zipp 更新至 3.19.2

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機上安裝的一個套件受到 ELSA-2025-38828 公告中提及的弱點影響。

    [3.20.1-2]
    - 使套件可構建用於 epel>=9

    [3.20.1-1]
    - 3.20.1 的更新 (rhbz#2307990)

    [3.20.0-1]
    - 3.20.0 的更新 (rhbz#2304028)

    [3.19.2-3]
    - 已針對 https://fedoraproject.org/wiki/Fedora_41_Mass_Rebuild 重建

    [3.19.2-2]
    - 針對 Python 重建 3.13

    [3.19.2-1]
    - 3.19.2 的更新 (rhbz#2290429)

    [3.19.1-1]
    - 3.19.1 的更新 (rhbz#2284137)

    [3.19.0-1]
    - 3.19.0 的更新 (rhbz#2283322)

    [3.18.1-1]
    - 3.18.1 的更新 (rhbz#2269634)

    [3.18.0-1]
    - 3.18.0 的更新 (rhbz#2269300)

    [3.17.0-3]
    - 已針對 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-2]
    - 已針對 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-1]
    - 3.17.0 的更新 (rhbz#2239492)

    [3.16.2-2]
    - 已針對 https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild 重建

    [3.16.2-1]
    - 3.16.2 (rhbz#2221413)SPDX 授權的更新

    [3.15.0-2]
    - 針對 Python 重建 3.12

    [3.15.0-1]
    - 3.15.0 的更新 (rhbz#2173260)

    [3.14.0-1]
    - 3.14.0 的更新 (rhbz#2171124)

    [3.13.0-1]
    - 3.13.0 的更新 (rhbz#2168671)

    [3.12.1-1]
    - 3.12.1 的更新 (rhbz#2167196)

    [3.12.0-1]
    - 3.12.0 的更新 (rhbz#2165156)

    [3.11.0-2]
    - 已針對 https://fedoraproject.org/wiki/Fedora_38_Mass_Rebuild 重建

    [3.11.0-1]
    - 3.11.0 的更新 (rhbz#2148541)

    [3.10.0-1]
    - 更新至 3.10.0 解決：rhbz#2137172

    [3.9.1-1]
    - 更新至 3.9.1 解決：rhbz#2137172

    [3.9.0-1]
    - 更新至 3.9.0 解決：rhbz#2133213

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2024:8418 公告中提及的多個弱點影響。

    Red Hat OpenShift Container Platform 是 Red Hat 的雲端運算 Kubernetes 應用程式平台解決方案，專門針對內部部署或私有雲端部署而設計。

    此公告含有適用於 Red Hat OpenShift Container Platform 4.16.19 版的 RPM 套件。請參閱此版本之容器映像的下列公告：

    https://access.redhat.com/errata/RHSA-2024:8418安全性修正：

    * github.com/jaraco/zipp：在 jaraco/zipp 中，因建構的 zip 檔案引起的拒絕服務 (無限迴圈) (CVE-2024-5569)
    * Podman：Buildah：CRI-O：containers/storage 庫中的符號連結遊走弱點可造成拒絕服務 (DoS) (CVE-2024-9676)
    * golang: net/netip：來自 IPv4 對應 IPv6 位址的 Is 方法的意外行為 (CVE-2024-24790)

    如需安全性問題的詳細資料，包括影響、CVSS 分數、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    如果相應的發佈通道中提供更新版套件和影像，建議所有 OpenShift Container Platform 4.16 使用者皆進行升級。要檢查可用的更新，請使用 OpenShift CLI (oc) 或 Web 主控台。有關升級叢集的說明，請造訪 https://docs.openshift.com/container-platform/4.16/updating/updating_a_cluster/updating-cluster-cli.html

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的多個套件受到 RHSA-2024:8232 公告中提及的多個弱點影響。

    Red Hat OpenShift Container Platform 是 Red Hat 的雲端運算 Kubernetes 應用程式平台解決方案，專門針對內部部署或私有雲端部署而設計。

    此公告含有適用於 Red Hat OpenShift Container Platform 4.17.2 版的 RPM 套件。請參閱此版本之容器映像的下列公告：

    https://access.redhat.com/errata/RHSA-2024:8229

    安全性修正：

    * encoding/gob：golang：針對包含深度巢狀結構的訊息呼叫 Decoder.Decode 會造成錯誤，因堆疊耗盡所致 (CVE-2024-34156)
    * github.com/jaraco/zipp：在 jaraco/zipp 中，因建構的 zip 檔案引起的拒絕服務 (無限迴圈) (CVE-2024-5569)
    * go/parser：golang：呼叫任意包含深度巢狀常值的 Parse 函式會造成錯誤/堆疊耗盡 (CVE-2024-34155)
    * go/build/constraint：golang：針對具有深度巢狀運算式的「// +build」構建標籤行呼叫 Parse 會造成錯誤，因堆疊耗盡所致 (CVE-2024-34158)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    如果相應的發佈通道中提供更新版套件和影像，建議所有 OpenShift Container Platform 4.17 使用者皆进行升級。要檢查可用的更新，請使用 OpenShift CLI (oc) 或 Web 主控台。有關升級叢集的說明，請造訪 https://docs.openshift.com/container-platform/4.17/updating/updating_a_cluster/updating-cluster-cli.html

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

因此，它會受到 ALAS2023-2024-653 公告中提及的一個弱點影響。

    jaraco/zipp 程式庫中包含拒絕服務 (DoS) 弱點，此問題會影響 3.19.1 之前的所有版本。處理特製的 zip 檔案時會觸發此弱點，進而導致無限迴圈。此問題也會影響 CPython 的 zipfile 模組，因為第三方 zipp 程式庫中的功能稍後會合併到 CPython 中，因此兩個專案中受影響的程式碼是相同的。使用會影響 zipp 和 zipfile 中「Path」模組的函式可觸發無限迴圈，例如「joinpath」、過載除法運算子和「iterdir」。雖然無限迴圈不會耗盡資源，但它會阻止應用程式回應。此弱點已在 jaraco/zipp 3.19.1 版中解決。(CVE-2024-5569)

Tenable 已直接從所測試產品的安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS 主機上安裝的套件受到 USN-6906-1 公告中所提及的一個弱點影響。

    據發現，python-zipp 未正確處理含非法和格式錯誤名稱的 zip 檔案。
    攻擊者可能利用此問題造成拒絕服務。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Oracle Linux 9 主機上安裝的一個套件受到 ELSA-2025-20533 公告中提及的弱點影響。

    [3.20.1-2]
    - 使套件可構建用於 epel>=9

    [3.20.1-1]
    - 3.20.1 的更新 (rhbz#2307990)

    [3.20.0-1]
    - 3.20.0 的更新 (rhbz#2304028)

    [3.19.2-3]
    - 已針對 https://fedoraproject.org/wiki/Fedora_41_Mass_Rebuild 重建

    [3.19.2-2]
    - 針對 Python 重建 3.13

    [3.19.2-1]
    - 3.19.2 的更新 (rhbz#2290429)

    [3.19.1-1]
    - 3.19.1 的更新 (rhbz#2284137)

    [3.19.0-1]
    - 3.19.0 的更新 (rhbz#2283322)

    [3.18.1-1]
    - 3.18.1 的更新 (rhbz#2269634)

    [3.18.0-1]
    - 3.18.0 的更新 (rhbz#2269300)

    [3.17.0-3]
    - 已針對 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-2]
    - 已針對 https://fedoraproject.org/wiki/Fedora_40_Mass_Rebuild 重建

    [3.17.0-1]
    - 3.17.0 的更新 (rhbz#2239492)

    [3.16.2-2]
    - 已針對 https://fedoraproject.org/wiki/Fedora_39_Mass_Rebuild 重建

    [3.16.2-1]
    - 3.16.2 (rhbz#2221413)SPDX 授權的更新

    [3.15.0-2]
    - 針對 Python 重建 3.12

    [3.15.0-1]
    - 3.15.0 的更新 (rhbz#2173260)

    [3.14.0-1]
    - 3.14.0 的更新 (rhbz#2171124)

    [3.13.0-1]
    - 3.13.0 的更新 (rhbz#2168671)

    [3.12.1-1]
    - 3.12.1 的更新 (rhbz#2167196)

    [3.12.0-1]
    - 3.12.0 的更新 (rhbz#2165156)

    [3.11.0-2]
    - 已針對 https://fedoraproject.org/wiki/Fedora_38_Mass_Rebuild 重建

    [3.11.0-1]
    - 3.11.0 的更新 (rhbz#2148541)

    [3.10.0-1]
    - 更新至 3.10.0 解決：rhbz#2137172

    [3.9.1-1]
    - 更新至 3.9.1 解決：rhbz#2137172

    [3.9.0-1]
    - 更新至 3.9.0 解決：rhbz#2133213

Tenable 已直接從 Oracle Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的多個套件受到 RHSA-2024:8906 公告中提及的多個弱點影響。

    Red Hat Satellite 是一套系統管理解決方案，讓組織無須為其伺服器或其他用戶端系統提供公共網際網路存取，就可以設定和維護系統。可執行預先定義標準作業環境的佈建和組態管理。

    安全性修正：

    * mosquitto：傳送特定的封包序列可能會觸發記憶體洩漏 (CVE-2024-8376)
    * micromatch：易受到規則運算式拒絕服務的影響 (CVE-2024-4067) * urllib3：跨來源重新導向期間未去除 proxy-authorization 要求標頭 (CVE-2024-37891)
    * node-tar：剖析 tar 檔案時發生拒絕服務，這是因為缺少資料夾深度驗證所導致 (CVE-2024-28863)
    * python-django：django.utils.html.urlize() 中潛在的拒絕服務弱點 (CVE-2024-38875)
    * python-django：透過時間差對密碼無法使用的使用者列舉使用者名稱 (CVE-2024-39329)
    * python-django：django.core.files.storage.Storage.save() 中潛在的目錄遊走弱點 (CVE-2024-39330)
    * python-django：django.utils.translation.get_supported_language_variant() 中潛在的拒絕服務弱點 (CVE-2024-39614)
    * github.com/jaraco/zipp：在 jaraco/zipp 中，因建構的 zip 檔案引起的拒絕服務 (無限迴圈) (CVE-2024-5569)
    * puppet-foreman：Foreman 中存在一個驗證繞過弱點 (CVE-2024-7012)
    * python-django：QuerySet.values() 和 values_list() 中潛在的 SQL 插入弱點 (CVE-2024-42005)
    * grpc：與 HTTP/2 Proxy 通訊的用戶端可毒害 Proxy 和後端之間的 HPACK 表格 (CVE-2024-7246)
    * puppet-pulpcore：pulpcore 中存在一個驗證繞過弱點 (CVE-2024-7923)
    * foreman：範本中整個 DB 的唯讀存取權 (CVE-2024-8553)

    建議 Red Hat Satellite 使用者皆升級至這些更新版套件，這些套件可修正這些問題。

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - jaraco/zipp 程式庫中有一個拒絕服務 (DoS) 弱點，會影響 3.19.1之前的所有版本。處理特製的 zip 檔案時會觸發此弱點，進而導致無限迴圈。此問題也會影響 CPython 的 zipfile 模組，因為第三方 zipp 程式庫中的功能稍後會合併到 CPython 中，因此兩個專案中受影響的程式碼是相同的。使用會影響 zipp 和 zipfile 中「Path」模組的函式可觸發無限迴圈，例如「joinpath」、過載除法運算子和「iterdir」。雖然無限迴圈不會耗盡資源，但它會阻止應用程式回應。此弱點已在 jaraco/zipp 3.19.1 版中解決。(CVE-2024-5569)

請注意，Nessus 依賴供應商報告的套件存在。

ID	名稱	產品	系列	已發布	已更新	嚴重性
211795	RHEL 9：RHOSP 17.1.4 (python-zipp) (RHSA-2024:9977)	Nessus	Red Hat Local Security Checks	2024/11/25	2024/11/25	medium
206781	RHEL 8/9：Red Hat Ansible Automation Platform 2.4 產品安全性和錯誤修正更新 (中等) (RHSA-2024:6428)	Nessus	Red Hat Local Security Checks	2024/9/9	2024/11/7	medium
252317	Oracle Linux 9 : python-zipp (ELSA-2025-38828)	Nessus	Oracle Linux Local Security Checks	2025/8/19	2025/8/19	medium
209902	RHEL 8 / 9：OpenShift Container Platform 4.16.z (RHSA-2024:8418)	Nessus	Red Hat Local Security Checks	2024/10/30	2024/10/30	critical
209548	RHEL 8 / 9：OpenShift Container Platform 4.17.2 (RHSA-2024:8232)	Nessus	Red Hat Local Security Checks	2024/10/23	2024/10/23	high
202928	Amazon Linux 2023：python3.11-setuptools、python3.11-setuptools-wheel (ALAS2023-2024-653)	Nessus	Amazon Linux Local Security Checks	2024/7/22	2024/12/11	medium
203146	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS：python-zipp 弱點 (USN-6906-1)	Nessus	Ubuntu Local Security Checks	2024/7/23	2024/8/27	medium
252316	Oracle Linux 9 : python-zipp (ELSA-2025-20533)	Nessus	Oracle Linux Local Security Checks	2025/8/19	2025/8/19	medium
210402	RHEL 8 / 9：Satellite 6.16.0 (嚴重) (RHSA-2024:8906)	Nessus	Red Hat Local Security Checks	2024/11/6	2024/11/6	high
231081	Linux Distros 未修補弱點：CVE-2024-5569	Nessus	Misc.	2025/3/6	2025/9/7	medium

偵測

搜尋 Plugin

medium

medium

medium

critical

high

medium

medium

medium

high

medium