Red Hat Summit第8章 非同期の更新
Ansible Automation Platform 2.4 のセキュリティー、バグ修正、機能拡張の更新は、非同期エラータとしてリリースされます。すべての Ansible Automation Platform エラータは、カスタマーポータルの Red Hat Ansible Automation Platform のダウンロード ページから入手できます。
Red Hat カスタマーポータルのユーザーは、Red Hat Subscription Management (RHSM) のアカウント設定で、エラータ通知を有効にできます。エラータ通知を有効にすると、登録されたシステムに関連するエラータが新たにリリースされるたびに、メールで通知が届きます。
Ansible Automation Platform のエラータ通知メールを生成するには、Red Hat カスタマーポータルのユーザーアカウントでシステムが登録されており、Ansible Automation Platform エンタイトルメントを使用している必要があります。
リリースノートの非同期更新セクションは、Ansible Automation Platform 2.4 の非同期エラータリリースの機能拡張とバグ修正に関する情報を提供するために、時間の経過とともに更新されます。
8.1. RPM のリリース
| エラータアドバイザリー | コンポーネントのバージョン |
|---|---|
|
RHSA-2024:7312 |
|
|
RHSA-2024:6765 |
|
|
RHSA-2024:6428 |
|
|
RHSA-2024:4522 |
|
|
RHSA-2024:3781 |
|
8.1.1. RHSA-2024:7312 - セキュリティーアドバイザリー - 2024 年 9 月 27 日
8.1.1.1. 全般
この更新により、次の CVE が解決されました。
CVE-2024-21520 -
break_long_headersによるクロスサイトスクリプティング(XSS)-
更新されたパッケージ：
automation-controller: djangorestframework
-
更新されたパッケージ：
CVE-2024-37891 -
proxy-authorizationリクエストヘッダーは、オリジン間のリダイレクト中に取り除かれません。-
更新された
パッケージ：Automation-controller: urllib3。
-
更新された
CVE-2024-41810 - リダイレクト応答での HTML インジェクションによる XSS の指定。
-
更新されたパッケージ:
automation-controller
-
更新されたパッケージ:
8.1.1.2. Automation Controller
- 'ansible.controller.organization' を使用して Galaxy 認証情報を割り当てるときに、認証情報が正しく順序付けされるように修正しました (AAP-31398)。
- '_unpartitioned_main_jobevent' テーブルが見つからないために発生する分析収集の失敗を修正しました (AAP-31053)。
8.1.2. RHSA-2024:6765 - セキュリティーアドバイザリー - 2024 年 9 月 18 日
8.1.2.1. 全般
この更新により、次の CVE が解決されました。
CVE-2024-7143 - オブジェクトを作成するタスクで RBAC 権限が誤って割り当てられる。
-
更新されたパッケージ:
python-pulpcoreおよびpython39-pulpcore。
-
更新されたパッケージ:
CVE-2024-37891 - cross-origin リダイレクト中に proxy-authorization リクエストヘッダーが削除されない。
-
更新されたパッケージ:
python-urllib3: urllib3。
-
更新されたパッケージ:
CVE-2024-24788 - 不正な DNS メッセージにより無限ループが発生する可能性がある。
-
更新されたパッケージ:
receptor: golang: net。
-
更新されたパッケージ:
CVE-2024-24790 - IPv4 にマッピングされた IPv6 アドレスに対する
Isメソッドの予期しない動作。-
更新されたパッケージ:
receiveser: golang: netおよびreceiveser: golang: netip。
-
更新されたパッケージ:
8.1.2.2. Automation Controller
- 分析収集が有効な場合に、Red Hat Subscription Manager のサブスクリプション認証情報を使用するように送信分析データのフォールバックを更新しました (AAP-30228)。
- Redis 接続のリークを修正するために 'channels-redis' ライブラリーをアップグレードしました (AAP-30124)。
8.1.3. RHSA-2024:6428 - セキュリティーアドバイザリー - 2024 年 9 月 5 日
8.1.3.1. 全般
- Gunicorn Python パッケージは、更新の確認や適用時にそれ自体が廃止されなくなりました (AAP-28364)。
この更新により、次の CVE が解決されました。
CVE-2024-42005 -
QuerySet.values()およびvalues_list()における潜在的な SQL インジェクション。-
更新されたパッケージ:
automation-controller: Django、python3-django、python39-django
-
更新されたパッケージ:
CVE-2024-41991 -
django.utils.html.urlize()およびAdminURLFieldWidgetにおける潜在的なサービス拒否の脆弱性。-
更新されたパッケージ:
automation-controller: Django、python3-django、python39-django
-
更新されたパッケージ:
CVE-2024-41990 -
django.utils.html.urlize()における潜在的なサービス拒否の脆弱性。-
更新されたパッケージ:
automation-controller: Django、python3-django、python39-django
-
更新されたパッケージ:
CVE-2024-33663 - OpenSSH ECDSA キーおよびその他のキー形式によるアルゴリズムの混乱。
-
更新されたパッケージ:
automation-controller: python-jose
-
更新されたパッケージ:
CVE-2024-32879 -
social-auth-app-djangoにおける大文字と小文字の区別の不適切な処理-
更新されたパッケージ:
automation-controller: python-social-auth
-
更新されたパッケージ:
CVE-2024-6840 - コンテナーグループを使用したジョブ実行を通じて Kubernetes API サーバーにアクセスする。
-
更新されたパッケージ:
automation-controller
-
更新されたパッケージ:
CVE-2024-41989 -
django.utils.numberformat.floatformat()でのメモリー枯渇。-
更新されたパッケージ:
python3-djangoおよびpython39-django
-
更新されたパッケージ:
CVE-2024-39614 -
django.utils.translation.get_supported_language_variant()における潜在的なサービス拒否。-
更新されたパッケージ:
python3-djangoおよびpython39-django
-
更新されたパッケージ:
CVE-2024-39330 -
django.core.files.storage.Storage.save()における潜在的なディレクトリートラバーサル。-
更新されたパッケージ:
python3-djangoおよびpython39-django
-
更新されたパッケージ:
CVE-2024-39329 - 使用できないパスワードを持つユーザーのタイミングの違いによるユーザー名の列挙。
-
更新されたパッケージ:
python3-djangoおよびpython39-django
-
更新されたパッケージ:
CVE-2024-38875 -
django.utils.html.urlize()における潜在的なサービス拒否。-
更新されたパッケージ:
python3-djangoおよびpython39-django
-
更新されたパッケージ:
CVE-2024-7246 - HTTP/2 プロキシーと通信するクライアントは、プロキシーとバックエンド間の HPACK テーブルを汚染する可能性があります。
-
更新されたパッケージ:
python3-grpcioおよびpython39-grpcio
-
更新されたパッケージ:
CVE-2024-5569 - 細工された .zip ファイルによるサービス拒否 (無限ループ)。
-
更新されたパッケージ:
python3-zippおよびpython39-zipp
-
更新されたパッケージ:
8.1.3.2. Automation Controller
-
RECEPTOR_KEEP_WORK_ON_ERRORが true に設定されている場合に、receptor 作業単位を自動的に解放しないように receptor を更新しました (AAP-27635)。 - REST API の ヘルプ リンクを更新し、最新の API リファレンスドキュメント (AAP-27573) を参照するようにしました。
- 大量のアクティビティーレコードを含むアクティビティーストリームをロードしようとする際に UI で発生するタイムアウトエラーを修正しました (AAP-26772)。
8.1.3.3. Automation Hub
- API ブラウザーは JSON 値を正しくエスケープするようになりました (AAH-3272、AAP-14463)。
8.1.4. RHSA-2024:4522 - セキュリティーアドバイザリー - 2024 年 7 月 12 日
8.1.4.1. 全般
この更新により、次の CVE が解決されました。
CVE-2024-34064 - Jinja は属性以外の文字を含むキーを受け入れます。
-
更新されたパッケージ:
automation-controller: jinja2
-
更新されたパッケージ:
CVE-2024-28102 - 悪意のある JWE トークンによりサービス拒否が発生する可能性があります。
-
更新されたパッケージ:
automation-controller: jwcrypto
-
更新されたパッケージ:
CVE-2024-35195 - 同じホストへの多数のリクエストは証明書の検証を無視します。
-
更新されたパッケージ:
automation-controller: requests
-
更新されたパッケージ:
8.1.4.2. Automation Controller
-
DATABASES['OPTIONS']設定が指定されている場合、コントローラーがそれを考慮しないバグを修正しました (AAP-26398)。 -
ImplicitRoleFieldのすべての使用がon_delete=SET_NULLを実行するように変更しました (AAP-25136)。 - HostMetric 自動カウンターが正しい値を表示するように修正しました (AAP-25115)。
- Django ログアウトリダイレクトを追加しました (AAP-24543)。
- データベースパスワードを必要としない PostgreSQL 認証方法をサポートするために、ディスパッチャーを更新してデータベースパスワードをオプションにしました (AAP-22231)。
8.1.5. RHSA-2024:3781 - セキュリティーアドバイザリー - 2024 年 6 月 10 日
8.1.5.1. 全般
-
ansible-developerRPM リポジトリーにautomation-controller-cliパッケージを追加しました (AAP-23368)。
この更新により、次の CVE が解決されました。
CVE-2023-45288 - CONTINUATION フレームの数が無制限であると、サービス拒否 (DoS) が発生する
-
更新されたパッケージ:
receptor: golang: net/http, x/net/http2
-
更新されたパッケージ:
CVE-2023-45290 -
Request.ParseMultipartFormでのメモリー不足-
更新されたパッケージ:
receptor: golang: net/http
-
更新されたパッケージ:
CVE-2023-49083 - PKCS7 証明書ロード時の null ポインター逆参照
-
更新されたパッケージ:
python3-cryptographyおよびpython39-cryptography
-
更新されたパッケージ:
CVE-2023-50447 - 環境パラメーターを使用した任意のコード実行
-
更新されたパッケージ:
python3-pillowおよびpython39-pillow
-
更新されたパッケージ:
CVE-2024-1135 - Transfer-Encoding ヘッダーの不適切な検証による HTTP リクエストのスマグリング
-
更新されたパッケージ:
python3-gunicornおよびpython39-gunicorn
-
更新されたパッケージ:
CVE-2024-21503 -
strings.pyファイル内のlines_with_leading_tabs_expanded()関数を使用した正規表現によるサービス拒否 (ReDoS)-
更新されたパッケージ:
python3-blackおよびpython39-black
-
更新されたパッケージ:
CVE-2024-24783 - 不明な公開鍵アルゴリズムを持つ証明書で検証パニックが発生する
-
更新されたパッケージ:
receptor: golang: crypto/x509
-
更新されたパッケージ:
CVE-2024-26130 - 一致しない証明書、秘密鍵、および
hmac_hashオーバーライドで呼び出した場合、pkcs12.serialize_key_and_certificatesで NULL ポインター逆参照が発生する-
更新されたパッケージ:
python3-cryptographyおよびpython39-cryptography
-
更新されたパッケージ:
CVE-2024-27306 - 静的ファイル処理のインデックスページでのクロスサイトスクリプティング (XSS)
-
更新されたパッケージ:
python3-aiohttpおよびpython39-aiohttp
-
更新されたパッケージ:
CVE-2024-27351 -
django.utils.text.Truncator.words()での ReDoS の可能性-
更新されたパッケージ:
automation-controller: Django
-
更新されたパッケージ:
CVE-2024-28219 -
_imagingcms.cのバッファーオーバーフロー-
更新されたパッケージ:
python3-pillowおよびpython39-pillow
-
更新されたパッケージ:
CVE-2024-28849 - 認証情報の漏洩の可能性
-
更新されたパッケージ:
python3-galaxy-ng: follow-redirects、python39-galaxy-ng: follow-redirects、automation-hub: follow-redirects
-
更新されたパッケージ:
CVE-2024-30251 - 不正な POST リクエストの解析試行時に DoS が発生する
-
更新されたパッケージ:
python3-aiohttp、python39-aiohttp、automation-controller: aiohttp
-
更新されたパッケージ:
CVE-2024-32879 -
social-auth-app-djangoにおける大文字と小文字の区別の不適切な処理-
更新されたパッケージ:
python3-social-auth-app-djangoおよびpython39-social-auth-app-django.
-
更新されたパッケージ:
CVE-2024-34064 -
xmlattrフィルターが属性以外の文字を含むキーを受け入れる-
更新されたパッケージ:
python3-jinja2およびpython39-jinja2
-
更新されたパッケージ:
CVE-2024-35195 - 同じホストへの追加リクエストが証明書の検証を無視する
-
更新されたパッケージ:
python3-requestsおよびpython39-requests
-
更新されたパッケージ:
CVE-2024-3651 - 悪用目的で作成された
idna.encode()への入力を通じたリソース消費による DoS の可能性-
更新されたパッケージ:
python3-idnaおよびpython39-idna
-
更新されたパッケージ:
CVE-2024-3772 - 細工されたメールアドレス文字列による ReDoS
-
更新されたパッケージ:
python3-pydantic、python39-pydantic、automation-controller: python-pydantic
-
更新されたパッケージ:
CVE-2024-4340 - ネストの深いリストを解析すると DoS が発生する
-
更新されたパッケージ:
python3-sqlparseおよびpython39-sqlparse
-
更新されたパッケージ:
CVE-2023-5752 -
pipを使用してインストールする場合のリポジトリーリビジョンへの Mercurial 設定の注入-
更新されたパッケージ:
automation-controller: pip
-
更新されたパッケージ:
8.1.5.2. Automation Controller
- Automation Controller バージョン 4.5.6 の Redis 接続リークを修正しました (AAP-24286)。
-
Python
uwsgitopスクリプトの#!インタープリタディレクティブ (shebang) を修正しました (AAP-22461)。
8.1.5.3. Automation Hub
- この更新により、名前空間のユーザーリストの取得にグループメンバーが含まれなくなりました (AAH-3121)。
- コミュニティーリポジトリーを同期するときに "Calculated digest does not equal passed in digest" というエラーが発生する問題を修正しました (AAH-3111)。
- Automation Hub を最新バージョンに更新した後、rh-certified リポジトリーの同期が失敗する問題を修正しました (AAH-3218)。
8.1.5.4. Event-Driven Ansible
-
インストールプログラムに
eda-serverのSAFE_PLUGINS_FOR_PORT_FORWARD設定のサポートが追加されました (AAP-21620)。 -
この更新により、
eda-serverが、設定でプラグインが許可されている場合にのみ、着信接続を必要とするソースプラグインを持つルールブックのポートを開くようになりました (AAP-17416)。 - ボリュームの誤ったクリーンアップが原因で、2048 個の Pod 制限に達した後にアクティベーションを開始できない問題を修正しました (AAP-21065)。
- ボリュームの誤ったクリーンアップにより一部のアクティベーションが失敗する問題を修正しました (AAP-22132)。
- このリリースでは、activation-worker および worker ターゲットが、他の必要な Event-Driven Ansible サービスとは別個に、ワーカーサービスを正しく停止するようになりました (AAP-23735)。
8.1.6. RHSA-2024:1057 - セキュリティーアドバイザリー - 2024 年 3 月 1 日
8.1.6.1. Automation Hub
- Automation Hub で各コレクションのダウンロード数を表示します (AAP-18298)
8.1.6.2. Event-Driven Ansible
- Event-Driven Ansible ワーカーサービスごとに実行中のアクティベーションの数を制御するパラメーターを追加しました (AAP-20672)。
-
EDA_CSRF_TRUSTED_ORIGINSを追加しました。これはユーザー入力で設定することも、インストーラーが決定する許可されたホスト名に基づいて定義することもできます (AAP-20244)。 - 既存の Automation Controller のバージョンが 4.4.0 以前の場合、Event-Driven Ansible インストールが失敗するようになりました (AAP-20241)。
-
Podman インストールの最大ログサイズを制御するために、containers.conf に
podman_containers_conf_logs_max_size変数を追加しました。デフォルト値は 10 MiB です (AAP-19775)。 - Event-Driven Ansible デバッグフラグを false に設定すると、Django デバッグモードが正常に無効化されるようになりました (AAP-19577)。
-
Podman に Event-Driven Ansible の残存設定を適用するときに
XDG_RUNTIME_DIRが定義されるようになりました (AAP-19265)。 - カスタム https ポートを使用する場合の Event-Driven Ansible nginx 設定を修正しました (AAP-19137)。
- このリリースの一部の機能 (Event-Driven Ansible の LDAP 認証機能など) は、開発者プレビューに分類されています。これらの Event-Driven Ansible 開発者プレビュー機能の詳細は、Event-Driven Ansible - Developer Preview を参照してください。
8.1.7. RHSA-2024:0733 - セキュリティーアドバイザリー - 2024 年 2 月 7 日
8.1.7.1. Automation Controller
-
rsyslogdが Splunk HTTP Collector へのイベント送信を停止する原因となったエラーを修正しました (AAP-19069)。
8.1.7.2. Automation Hub
- Automation Hub は nginx でシステム暗号化ポリシーを使用するようになりました (AAP-18974)。
8.1.7.3. Event-Driven Ansible
- Event-Driven Ansible を古いバージョンに固定する場合に手動インストールの失敗を引き起こすエラーを修正しました (AAP-19399)。
8.1.8. RHBA-2024:0104 - バグ修正アドバイザリー - 2024 年 1 月 11 日
8.1.8.1. 全般
- ansible-core 問題 #82295 からの変更に合わせて条件付きコードステートメントを修正しました (AAP-19099)。
-
コントローラーの実行ノードに対して
update-ca-trustハンドラーがスキップされる問題を修正しました (AAP-18911)。 - Automation Controller のエラーページを改善しました (AAP-18840)。
-
インポートに失敗した時の
uWSGIコアダンプを回避するためのlibffi修正を実装しました (AAP-18196)。 - 以前の不完全なアップグレードが原因で発生した、アップグレード後のライセンスタイプのチェックに関する問題を修正しました (AAP-17615)。
-
SSL モード
verify-fullの Postgres バージョンをチェックするときに、Postgres 証明書が一時的にコピーされるようになりました (AAP-15374)。
8.1.9. RHBA-2023:7460 - バグ修正アドバイザリー - 2023 年 11 月 21 日
8.1.9.1. 全般
- Event-Driven Ansible をバックアップから復元するときに誤ったターゲットデータベースが選択される原因となったエラーを修正しました (AAP-18151)。
-
FIPS 環境でユーザーを作成する Postgres タスクで
scram-sha-256が使用されるようになりました (AAP-17516)。 - インストールが完了すると、すべての Event-Driven Ansible サービスが有効になります (AAP-17426)。
- バックアップまたは復元を実行する前に、バックアップおよび復元のステージングファイルおよびディレクトリーをすべて確実にクリーンアップしてください。バックアップまたは復元後に、削除するファイルにマークを付ける必要もあります (AAP-16101)。
- nginx を 1.22 に更新しました (AAP-15962)。
-
pg_dumpの実行前にawx-manageコマンドを実行してイベントテーブルパーティションを事前作成するタスクを仮想マシンに追加し、事前作成にかかるデフォルトの時間数の変数を追加しました (AAP-15920)。
8.1.9.2. Event-Driven Ansible
- コントローラーなしで Event-Driven Ansible をインストールする場合の Automation Controller URL チェックを修正しました (AAP-18169)。
- プロジェクトの更新などのアプリケーションタスクを妨げないように、Event-Driven Ansible アクティベーション用に別のワーカーキューを追加しました (AAP-14743)。
8.1.10. RHBA-2023:5347 - バグ修正アドバイザリー - 2023 年 9 月 25 日
8.1.10.1. 全般
-
-kオプションを指定してsetup.shを実行すると、インストーラーが Controller の新しいSECRET_KEYを適切に生成するようになりました (AAP-15565)。 -
ジョブ実行中の
cannot re-exec processエラーを防ぐために、Podman の一時ファイルのクリーンアップを追加しました (AAP-15248)。 - コンポーネントごとに追加の nginx 設定用の新しい変数を追加しました (AAP-15124)。
- インストーラーが、Ansible Automation Platform インストールごとに 1 つの Event-Driven Ansible ホストのみを正しく適用するようになりました (AAP-15122)
- アップグレード時に、Automation Hub の実行環境イメージを Automation Controller に同期できるようになりました (AAP-15121)。
- awx ユーザー設定が rootless Podman をサポートするようになりました (AAP-15072)。
-
/var/lib/awxディレクトリーを、実行ノード上に別のファイルシステムとしてマウントできるようになりました (AAP-15065)。 - Event-Driven Ansible ユーザーの残存設定を修正しました (AAP-14745)。
- 内部 postgres インストールのインストーラー管理証明書の署名に使用される値を修正しました (AAP-14236)。
- コンポーネントホストのサブジェクト代替名が、https が有効な場合にのみ、証明書への署名についてチェックされるようになりました (AAP-14235)。
-
外部の postgres および内部管理の postgres の 127.0.0.1 で署名された postgres に影響を与える
verify-fullの postgres sslmode を修正しました (AAP-13962)。 - 指定された SSL Web 証明書の SSL キーと証明書パラメーターを含むようにインベントリーファイルを更新しました (AAP-13854)。
-
正しくないユーザーで起動する
awx-rsyslogdプロセスの問題を修正しました (AAP-13664)。 -
RHEL 9 で復元プロセスが
pulpcore-workerサービスを停止できない問題を修正しました (AAP-13297)。 - Podman 設定が Event-Driven Ansible ホームディレクトリーに正しく配置されるようになりました (AAP-13289)。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}