遠端 Redhat Enterprise Linux 9 主機上安裝的多個套件受到 RHSA-2025:23070 公告中提及的一個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * automation-controllerDjango SQL 插入 (CVE-2025-64459)
    * python3.11-djangoDjango SQL 插入 (CVE-2025-64459)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    包含的更新和修正：

    Automation Platform
    * IPv6 和 IPv4/IPv6 雙堆疊支援現在預設為啟用 (AAP-58923)
    * 修正一個可能透過 /api/eda/ 或 /api/controller/ 端點指派權限時發生的伺服器錯誤 (AAP-58622)
    * automation-gateway 已更新至 2.6.20251210
    * 已將 python3.11-django-ansible-base 更新至 2.6.20251210

    Automation Platform UI
    * 已修正工作範本在刪除相關專案後無法保持編輯狀態的問題 (AAP-58467)
    * 修正工作詳細資料頁面上的專案狀態更新連結損毀的錯誤 (AAP-57215)
    * 修正從 [概覽] 頁面存取時[關於] 頁面中缺少品牌標誌的問題 (AAP-57133)
    * 修正角色頁面中的資源類型篩選器未正確依資源類型篩選的問題 (AAP-56691)
    * 修正自動觸發專案更新時「啟動者」欄位在 UI 中顯示空白的問題 (AAP-56643)
    * 已更新劇本選取下拉式清單以在專案中只有一個劇本時自動選取一個劇本 (AAP-56279)
    * 修正 Inventory 來源中遺漏來源控制 Branch 選項的問題 (AAP-56149)
    * 驗證器標籤已從「Azuread」更新為「Azure AD」(AAP-55677)
    * 修正一個錯誤此錯誤若使用 ansible.controller 集合在無預設值的情況下建立調查則調查的編輯表單不會顯示在 UI 中 (AAP-51548)
    * 已改善驗證器對應詳細資料的標籤和描述 (AAP-51295)
    * 已修正 Remotes 和 Remote Registries 的描述 (AAP-49838)
    * 已新增來源控制分支至 Project Sync Job 詳細資料 (AAP-49450)
    * 修正私人自動化集線器的卡片檢視中集合超連結損毀的問題 (AAP-49006)
    * 修正搜尋功能在新增主機至群組時無法縮小結果範圍的問題 (AAP-47510)
    * 針對可讀性改善自訂登入文字並允許 HTML 標記例如連結 (AAP-47462)
    * 修正未在「新增現有主機」對話方塊中依主機名稱篩選未正常運作的問題 (AAP-45534)
    * 修正來自通知的工作流程工作範本輸出的 url (AAP-43796)
    * 搜尋篩選器現可在主機清單內的任何頁面上運作 (AAP-42679)
    * 修正從 Project 或 Inventory 建立新範本並不會自動填入 Project 欄位的問題 (AAP-41725)
    * 修正當使用者擁有權限時範本索引標籤上的權限遭拒訊息誤導的問題 (AAP-40800)
    * 修正詳細資料頁面中的存放庫 URL 錯誤 (AAP-40160)
    * 已修正一個問題的最小長度值可設定為大於最大長度值的調查驗證問題 (AAP-39932)
    * 修正評估文字長度時將文字視為數字的調查驗證問題 (AAP-39931)
    * 修正一個使用者無法為建構的清單同步建立排程的問題 (AAP-38660)
    * 已修正編輯或建立排程時未儲存調查答案的問題 (AAP-37923)
    * 修正一個導致無法編輯排程中執行個體群組的錯誤 (AAP-37872)
    * 針對核取方塊僅簽署的集合和同步自動化集線器的所有相依性引入選項區段 (AAP-36592)
    * 新增一個關於在自動化集線器的存放庫之外同步相依性的資訊訊息 (AAP-36592)
    * 已修正概覽和詳細資料檢視之間工作時間戳記不一致的問題 (AAP-36588)
    * 修正預設未在「建立認證」表單中勾選 verify_ssl 核取方塊的問題 (AAP-33889)
    * 已更新額外 vars 欄位中大量數字的格式設定 (AAP-31805)
    * automation-platform-ui 已更新至 2.6.4

    自動化控制器
    * 新增 x-ai-description 至控制器配置以為每個端點提供 AI 易懂的描述 (AAP-59819)
    * 修正長時間執行工作中的 Redis 管道中斷錯誤 (AAP-59728)
    * 修正 GitHub 應用程式安裝存取權杖查閱以接受 Iv2 用戶端 ID (AAP-58880)
    * 將控制器更新為現在在同步已啟用「允許分支覆寫」的專案時會使用強制旗標 (AAP-58533)
    * 接收器集合已升級至 2.0.8版其與 RHEL 10 相容 (AAP-58421)
    * 更新 OpenAPI Specification 的多個層面支援 MCP VP (AAP-53640)
    * 已將 automation-controller 更新至 4.7.6

    Automation hub
    * 自動完成屬性新增至 Automation Hub API 密碼欄位 (AAP-59910)
    * 當啟用 API 存取記錄時自動化集線器升級繼續進行 (AAP-59886)
    * 修正具有 Team Admin 角色的使用者之驗證失敗 (AAP-58898)
    * 已將 automation-hub 更新至 4.11.4
    * 已將 python3.11-galaxy-importer 更新至 0.4.36
    * 已將 python3.11-galaxy-ng 更新至 4.11.4

    事件導向的 Ansible
    * 新增 x-ai-description 至 EDA 端點以供 AAP MCP 伺服器消耗 (AAP-58431)
    * automation-eda-controller 已更新至 1.2.3

    容器型 Ansible Automation Platform
    * 已修正因同名的過期已結束容器仍存在而解除安裝/重新安裝接收器作業無法開始的問題 (AAP-59609)
    * 根據系統資源為執行 AAP 服務容器的使用者設定 podman PID 限制、針對 inotify 和核心金鑰設定 sysctls以及設定 ulimit nofile (AAP-59438)
    * 容器化安裝程式設定已更新至 2.6-4

    其他變更
    * 現已提供適用於 RHEL 10 的 Ansible 開發工具
    * ansible-builder 已更新至 3.1.1
    * 已將 ansible-creator 更新至 25.12.0
    * 已將 ansible-dev-environment 更新至 25.12.2
    * 已將 ansible-dev-tools 更新至 25.12.0
    * 已將 ansible-lint 更新至 25.12.0
    * 已將 ansible-navigator 更新至 25.12.0
    * ansible-sign 已更新至 0.1.4
    * bindep 已更新至 2.13.0
    * 已將 molecule 更新至 25.12.0
    * 已將 python3.11-ansible-compat 更新至 25.12.0
    * python3.11-distlib 已更新至 0.4.0
    * 已將 python3.11-django 更新至 4.2.26
    * python3.11-execnet 已更新至 2.1.2
    * python3.11-gunicorn 已更新至 23.0.0
    * python3.11-pluggy 已更新至 1.6.0
    * python3.11-pytest 已更新至 9.0.1
    * 已將 python3.11-pytest-ansible 更新至 25.12.0
    * python3.11-pytest-xdist 已更新至 3.8.0
    * python3.11-ruamel-yaml-clib 已更新至 0.2.15
    * python3.11-subprocess-tee 已更新至 0.4.2
    * 已將 python3.11-tox-ansible 更新至 25.12.0
    * 已將 python3.11-typing-extensions 更新至 4.15.0

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10主機上安裝的一個套件受到 USN-7859-1 公告中所提及的一個弱點影響。

    據發現Django 未正確處理查詢中的某些字元。攻擊者可能利用此問題執行任意 SQL 命令。

Tenable 已直接從 Ubuntu 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Redhat Enterprise Linux 8 / 9 主機上安裝的套件受到 RHSA-2025:23069 公告中提及的多個弱點影響。

    Red Hat Ansible Automation Platform 提供企業架構，用於大規模構建、部署和管理 IT 自動化。IT 管理員可針對如何將自動化套用至個別團隊，提供自上而下的準則，自動化開發人員則可繼續自由撰寫利用現有知識的工作，而不會產生額外負荷。Ansible Automation Platform 可讓組織內的使用者透過簡單、功能強大且無代理程式的語言，共用、檢查和管理自動化內容。

    安全性修正：

    * automation-controllerDjango SQL 插入 (CVE-2025-64459)
    * python3.11-djangoDjango SQL 插入 (CVE-2025-64459)
    * automation-eda-controllerAAP EDA 事件流中的敏感內部標頭洩漏 (CVE-2025-9908)
    * automation-eda-controller事件資料流測試模式會洩漏 AAP EDA 中的敏感標頭 (CVE-2025-9907)
    * automation-gatewayGateway 中的不當路徑驗證允許認證洩漏 (CVE-2025-9909)
    * automation-gateway因缺少資料大小檢查而導致的 Axios DoS (CVE-2025-58754)
    *接受器quic-go 因 HANDSHAKE_DONE 框架過早損毀 (CVE-2025-59530)

    如需安全性問題的詳細資料，包括影響、CVSS 評分、致謝及其他相關資訊，請參閱〈參照〉一節列出的 CVE 頁面。

    包含的更新和修正：

    Automation Platform
    * 已修正具有多個屬性的使用與條件。之前驗證對應會略過遺漏的屬性透過此修正只有在所有屬性都存在且符合條件時才會套用對應 (AAP-53523)
    * 已新增訂閱管理開頭頁面的 UI 變更 (AAP-47864)
    * 已修正一個相關專案遭到刪除後工作範本無法維持編輯狀態的問題 (AAP-58474)
    * automation-gateway 已更新至 2.5.20251210
    * 已將 python3.11-django-ansible-base 更新至 2.5.20251210

    自動化控制器
    * 修正工作在啟用 fapolicyd 的系統上失敗且未預設安裝 python 3.9 的問題 (AAP-58479)
    * 已修正接收者中部分極端案例造成 JSON 無法剖析的問題 (AAP-57253)
    * 修正 GitHub 應用程式安裝存取權杖查閱以接受 Iv2 用戶端 ID (AAP-58882)
    * 將控制器更新為現在在同步已啟用「允許分支覆寫」的專案時會使用強制旗標 (AAP-58532)
    * 修正長時間執行工作中的 Redis 管道中斷錯誤 (AAP-59727)
    * 修正 main_unifiedjobtemplate.org_unique 欄不存在移轉錯誤 (AAP-56221)
    * ansible-runner 已更新至 2.4.2
    * 已將 automation-controller 更新至 4.6.23
    * automation-controller-fapolicyd 已更新至 1.0-5
    * 已將 receptor 更新至 1.6.2

    Automation Hub
    * 自動完成屬性新增至 Automation Hub API 密碼欄位 (AAP-59912)
    * 已將 automation-hub 更新至 4.10.10
    * 已將 python3.11-galaxy-ng 更新至 4.10.10
    * 已將 python3.11-galaxy-importer 更新至 0.4.36

    事件導向的 Ansible
    * 為 mTLS 事件資料流新增認證類型 (AAP-55786)
    * 修正 redis_tls 不支援布林值 (如 yes/no) 的問題 (AAP-52828)
    * automation-eda-controller 已更新至 1.1.14

    容器型 Ansible Automation Platform
    * 修正 podman 5.6 與自動化控制器容器組態的相容性 (AAP-58546)
    * 已從 EDA 設定檔案移除 EVENT_STREAM_MTLS_BASE_URL避免在使用 eda_extra_settings 變數時出現重複項目 (AAP-57587)
    * RHEL 最低版本已更新至 9.4 (AAP-56386)
    * nginx 已更新至 1.24 (AAP-56203)
    * 容器化安裝程式設定已更新至 2.5-21

    RPM-based Ansible Automation Platform
    * 修正當清單中沒有自動化集線器節點時安裝程式會在執行環境影像上傳期間失敗的問題 (AAP-57122)
    * RHEL 最低版本已更新至 8.10 和 9.4 (AAP-56386)
    * nginx 已更新至 1.24 (AAP-56205)
    * 已將 ansible-automation-platform-installer 和安裝程式設定更新至 2.5-20

    其他變更
    * ansible-builder 已更新至 3.1.1
    * 已將 ansible-creator 更新至 25.12.0
    * 已將 ansible-dev-environment 更新至 25.12.2
    * 已將 ansible-dev-tools 更新至 25.12.0
    * 已將 ansible-lint 更新至 25.12.0
    * 已將 ansible-navigator 更新至 25.12.0
    * ansible-sign 已更新至 0.1.4
    * bindep 已更新至 2.13.0
    * 已將 molecule 更新至 25.12.0
    * 已將 python3.11-ansible-compat 更新至 25.12.0
    * python3.11-distlib 已更新至 0.4.0
    * 已將 python3.11-django 更新至 4.2.26
    * python3.11-execnet 已更新至 2.1.2
    * python3.11-gunicorn 已更新至 23.0.0
    * python3.11-pluggy 已更新至 1.6.0
    * python3.11-pytest 已更新至 9.0.1
    * 已將 python3.11-pytest-ansible 更新至 25.12.0
    * python3.11-pytest-xdist 已更新至 3.8.0
    * python3.11-ruamel-yaml-clib 已更新至 0.2.15
    * python3.11-subprocess-tee 已更新至 0.4.2
    * 已將 python3.11-tox-ansible 更新至 25.12.0
    * 已將 python3.11-typing-extensions 更新至 4.15.0

Tenable 已直接從 Red Hat Enterprise Linux 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 11 主機已安裝受到多個弱點影響的套件如 dla-4425 公告中所提及。

    - ------------------------------------------------- ------------------------ Debian LTS 公告 DLA-4425-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Chris Lamb 2025 年 12 月 29 日 https://wiki.debian.org/LTS
    - -------------------------------------------------------------------------

    套件 python-django 版本 2:2.2.28-1~deb11u10 CVE ID CVE-2025-64459 CVE-2025-64460 Debian 錯誤 1121788

    據發現Django (Python 型 Web 開發架構) 中有兩個問題

     * CVE-2025-64459QuerySet/Q 物件中可能會透過 _connector 關鍵字引數發生 SQL 插入。使用特製的字典做為 _connector 引數時QuerySet filter()、exclude() 和 get() 方法以及 Q() 類別容易遭受 SQL 插入攻擊。

     * CVE-2025-64460XML 序列化程式文字擷取中的潛在拒絕服務弱點。django.core.serializers.xml_serializer.getInnerText() 中的演算法複雜度問題會允許遠端攻擊者透過提交至叫用 XML Deserializer 之服務的特製 XML 輸入造成可能的拒絕服務觸發 CPU 與記憶體耗盡。此弱點是因為以遞回方式收集文字節點時重複字串串連所導致其會產生超線性運算。

    針對 Debian 11 Bullseye這些問題已在版本 2:2.2.28-1~deb11u10 中修正。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian LTS 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱：https://wiki.debian.org/LTS

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 13 主機上安裝的多個套件受到 dsa-6117 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6117-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 1 月 31 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：python-django CVE ID：CVE-2025-13372 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    在 Python Web 開發架構 Django 中發現多個安全性問題，這些問題會導致 SQL 插入攻擊、目錄遊走或拒絕服務。

    針對穩定的發行版本 (trixie)，已在第 3:4.2.27-0+deb13u1 版中修復這些問題。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

遠端 Debian 12 主機上安裝的多個套件受到 dsa-6136 公告中提及的多個弱點影響。

    - ------------------------------------------------------------------------- Debian 安全公告 DSA-6136-1 security@debian.org https://www.debian.org/security/Moritz Muehlenhoff 2026 年 2 月 15 日https://www.debian.org/security/faq
    - -------------------------------------------------------------------------

    套件：python-django CVE ID：CVE-2023-41164 CVE-2023-43665 CVE-2024-24680 CVE-2024-27351 CVE-2024-39329 CVE-2024-39330 CVE-2024-39614 CVE-2024-41989 CVE-2024-41991 CVE-2024-42005 CVE-2024-45231 CVE-2024-53907 CVE-2024-56374 CVE-2025-13372 CVE-2025-26699 CVE-2025-32873 CVE-2025-48432 CVE-2025-57833 CVE-2025-59681 CVE-2025-59682 CVE-2025-64459 CVE-2025-64460

    Python Web 開發框架 Django 中發現了多個安全性問題，可能導致拒絕服務、資訊外洩、目錄遍歷或 SQL 注入。

    針對舊的穩定發行版本 (bookwarm)，這些問題已在 3:3.2.25-0+deb12u1 版本中修正。 python-django-storages 也需要更新，以確保持續相容 (1.13.2-1+deb12u1)。

    建議您升級 python-django 套件。

    如需有關 python-django 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
    https://security-tracker.debian.org/tracker/python-django

    有關 Debian 安全公告、如何將這些更新套用至您的系統以及常見問題的詳細資訊，請參閱 : https://www.debian.org/security/

    郵寄清單：debian-security-announce@lists.debian.org

Tenable 已直接從 Debian 安全公告擷取前置描述區塊。

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

ID	名稱	產品	系列	已發布	已更新	嚴重性
278140	RHEL 9 Red Hat Ansible Automation Platform 2.6 產品安全性和錯誤修正更新 (重要) (RHSA-2025:23070)	Nessus	Red Hat Local Security Checks	2025/12/10	2025/12/10	critical
274387	Ubuntu 20.04 LTS / 22.04 LTS / 24.04 LTS / 25.04 / 25.10 Django 弱點 (USN-7859-1)	Nessus	Ubuntu Local Security Checks	2025/11/7	2026/1/21	critical
278146	RHEL 8/9：Red Hat Ansible Automation Platform 2.5 產品安全性和錯誤修正更新 (重要) (RHSA-2025:23069)	Nessus	Red Hat Local Security Checks	2025/12/10	2025/12/10	critical
280137	Debian dla-4425python-django-doc - 安全性更新	Nessus	Debian Local Security Checks	2025/12/30	2025/12/30	medium
297437	Debian dsa-6117：python-django-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/1/31	2026/1/31	medium
299143	Debian dsa-6136：python-django-doc - 安全性更新	Nessus	Debian Local Security Checks	2026/2/15	2026/2/15	critical

偵測

搜尋 Plugin

critical

critical

critical

medium

medium

critical