红帽全球峰会8.8. 安装程序发行版本
| 安装捆绑包 | 组件版本 |
|---|---|
|
2.4-7.4 |
|
|
2.4-7.3 |
|
|
2.4-7.2 |
|
|
2.4-7.1 |
|
|
2.4-7 |
|
8.8.1. RHBA-2024:7454 - 捆绑包安装程序版本 2.4-7.4 - 2024 年 10 月 1 日
8.8.2. RHBA-2024:6877 - 捆绑包安装程序版本 2.4-7.3 - 2024 年 9 月 19 日
8.8.3. RHBA-2024:6492 - 捆绑包安装程序版本 2.4-7.2 - 2024 年 9 月 9 日
8.8.4. RHBA-2024:4555 - 捆绑包安装程序版本 2.4-7.1 - 2024 年 7 月 15 日
8.8.5. RHBA-2024:3871 - 捆绑包安装程序版本 2.4-7 - 2024 年 6 月 12 日
8.8.6. RHBA-2024:2074 - 捆绑包安装程序版本 2.4-6.2 - 2024 年 4 月 25 日
8.8.6.1. General
- 解决了当同一集合几乎同时上传时发生的竞争条件。(AAH-2699)
8.8.6.2. 自动化控制器
-
修复了在
wsrelay主asyncio循环崩溃时发生的数据库连接泄漏。(AAP-22938)
8.8.7. RHBA-2024:1672 - 捆绑包安装程序版本 2.4-6.1 - 2024 年 4 月 4 日
8.8.7.1. General
- 修复了 worker 节点不可用并处于运行状态(AAP-21828)的问题。
- automation-controller: axios：公开存储在 Cookie 中的机密数据(CVE-2023-45857)
-
python-django: Potential 正则表达式 denial-of-service in
django.utils.text.Truncator.words （）(CVE-2024-27351)
- receptor: golang-fips/openssl: Memory leaks in code decrypting RSA payloads (CVE-2024-1394)
- automation-controller: python-aiohttp: HTTP 请求 smuggling (CVE-2024-23829)
- python-aiohttp: HTTP request smuggling (CVE-2024-23829)
-
automation-controller: aiohttp:
follow_symlinks目录遍历漏洞(CVE-2024-23334)
-
python3x-aiohttp: aiohttp:
follow_symlinks目录遍历漏洞(CVE-2024-23334)
-
python-aiohttp: aiohttp:
follow_symlinks目录遍历漏洞(CVE-2024-23334)
-
automation-controller: Django: 拒绝
intcomma模板过滤器中的服务(CVE-2024-24680)
-
Automation-controller：当将用户输入作为密钥传递给
xmlattr过滤器时，jinja2: HTML 属性注入(CVE-2024-22195)
- automation-controller: python-cryptography: NULL-dereference when load PKCS7 certificate (CVE-2023-49083)
- receptor: golang: net/http/internal: 通过 HTTP 请求进行资源消耗(CVE-2023-39326)
- automation-controller: python-aiohttp: issues in HTTP parser with header parsing (CVE-2023-47627)
- Automationcontroller: GitPython: Blind local file inclusion (CVE-2023-41040)
-
automation-controller: python-twisted: Disordered HTTP pipeline in
twisted.web(CVE-2023-46137)
8.8.7.2. 自动化控制器
- 更新执行环境镜像不再会失败，并显示使用上一个镜像的作业(AAP-21733)。
- 使用错误代码替换英语文字的字符串验证，以允许通用验证和比较(AAP-21721)。
- 现在，当分配程序终止(AAP-21049)时，分配程序会正确终止子进程。
- 修复了在更改一个基本表单字段(AAP-20967)时，调度提示变量和调查答案以编辑模式重置的错误。
- 从 Ansible Tower 3.8.6 升级到 Ansible Automation Platform 2.4 不再在数据库架构迁移后失败(AAP-19738)。
- 修复了在 OpenShift Container Platform 部署中导致控制器任务容器重启(AAP-21308)的错误。
8.8.8. RHBA-2024:1158 - 捆绑包安装程序版本 2.4-6 - 2024 年 3 月 6 日
8.8.8.1. General
- python-django: Django: denial-of-service in intcomma template filter (CVE-2024-24680)
- pycryptodomex: pycryptodome: Side-channel leakage for OAEP decrypt in PyCryptodome and pycryptodomex (CVE-2023-52323)
- python-pygments: pygments: ReDoS in pygments (CVE-2022-40896)
- python3x-jinja2: jinja2: HTML 属性注入，当将用户输入作为密钥传递给 xmlattr 过滤器(CVE-2024-22195)
- python-jinja2: jinja2: HTML 属性注入，当将用户输入作为密钥传递给 xmlattr 过滤器(CVE-2024-22195)
- python3x-aiohttp: CRLF 注入，如果用户使用 aiohttp 客户端(CVE-2023-49082)控制 HTTP 方法
- python-aiohttp: aiohttp: CRLF 注入，如果用户使用 aiohttp 客户端(CVE-2023-49082)控制 HTTP 方法
- python3x-aiohttp: aiohttp: HTTP 请求修改(CVE-2023-49081)
- python-aiohttp: aiohttp: HTTP 请求修改(CVE-2023-49081)
- python3x-aiohttp: python-aiohttp: issues in HTTP parser with header parsing (CVE-2023-47627)
- python-aiohttp: issues in HTTP parser with header parsing (CVE-2023-47627)
-
python3x-pillow: python-pillow: 当
ImageDraw实例中的文本长度在长文本参数上运行时，不会控制资源消耗(CVE-2023-44271)
-
python-pillow ：当
ImageDraw实例中文本长度在长文本参数(CVE-2023-44271)上运行时，不会控制的资源消耗。
8.8.8.2. Event-Driven Ansible
- event_driven: Ansible Automation Platform：在与 Event-Driven Ansible 服务器交互时使用的不安全 WebSocket (CVE-2024-1657)。
8.8.9. RHBA-2023:6831 - 捆绑包安装程序版本 2.4-2.4 - 2023 年 11 月 8 日
8.8.9.1. General
- python3-urllib3/python39-urllib3: Cookie 请求标头不会在跨原始重定向期间剥离(CVE-2023-43804)
8.8.9.2. 自动化控制器
- automation-controller: Django: Denial-of-service may in django.utils.text.Truncator (CVE-2023-43665)
-
使用
infra.controller_configuration集合（使用ansible.controller集合）更新其 Ansible Automation Platform 环境的客户不再收到 HTTP 499 响应(AAP-17422)。
8.8.10. RHBA-2023:5886 - 捆绑包安装程序版本 2.4-2.3 - 2023 年 10 月 19 日
8.8.10.1. General
- receptor: golang: net/http, x/net/http2: rapid stream resets may cause too work (CVE-2023-44487) (CVE-2023-39325)
- receptor: golang: crypto/tls: 验证包含大型 RSA 密钥的证书链的速度(CVE-2023-29409)
8.8.10.2. 自动化控制器
- receptor: HTTP/2：启用了多个 HTTP/2 的 Web 服务器会受到 DDoS 攻击(Rapid Reset Attack) (CVE-2023-44487)
8.8.11. RHBA-2023:5812 - 捆绑包安装程序版本 2.4-2.2 - 2023 年 10 月 17 日
8.8.11.1. General
- ansible-core: malicious role archive 可能会导致 ansible-galaxy 覆盖任意文件(CVE-2023-5115)
- python3-django/python39-django: Denial-of-service may in django.utils.text.Truncator (CVE-2023-43665)
8.8.11.2. 自动化控制器
- 在控制器 UI 中添加了一个新的 Subscription Usage 页面，以查看许可证的历史使用情况(AAP-16983)。
- automation-controller: Django: 在 django.utils.encoding.uri_to_iri （）(CVE-2023-41164中拒绝服务漏洞)
8.8.12. RHBA-2023:5653 - 捆绑包安装程序发行版本 2.4-2.1 - 2023 年 10 月 10 日
8.8.12.1. General
- 更新了 ansible-lint，使其包含默认启用的离线模式，以防止出站网络调用(AAH-2606)。
8.8.12.2. 自动化控制器
-
修复了设置查找，不再使某些服务处于
supervisordFATAL无响应状态(AAP-16460)。 -
用
ATTACH PARTITION创建分区的 SQL 命令替换，以避免在事件表(AAP-16350)上专用表锁定。 -
修复了设置，允许为给定机构同时使用
SOCIAL_AUTH_SAML_ORGANIZATION_ATTR和SOCIAL_AUTH_SAML_ORGANIZATION_MAP。 - 修复了内容安全策略(CSP)以启用 Pendo retrieve (AAP-16057)。
-
更新了 Thycotic DevOps Secrets Vault 凭证插件，允许根据
secret_field(AAP-15695)进行过滤。
8.8.13. RHBA-2023:5140 - 捆绑包安装程序版本 2.4-1.4 - 2023 年 9 月 12 日
8.8.13.1. 自动化控制器
- 修复了在 Redis 不可用时导致关闭时死锁的错误(AAP-14203)。
- 由于安全问题(AAP-15545)，登录表单不再支持 password 字段上的自动完成。
- Automation-controller：加密：通过不可变对象发生内存损坏(CVE-2023-23931)
- Automation-controller: GitPython: 在 clone 和 clone_from 中不安全非多选项，不会阻断(CVE-2023-40267)
- python3-gitpython/python39-gitpython: Insecure non-multi options in clone_from is not blocked (CVE-2023-40267)
8.8.14. RHBA-2023:4782 - 捆绑包安装程序版本 2.4-1.3 - 2023 年 8 月 28 日
8.8.14.1. 自动化控制器
- automation-controller: python-django: 在 EmailValidator/URLValidator (CVE-2023-36053)中拒绝服务漏洞。
- automation-controller: python-django ：文件上传中的拒绝服务漏洞(CVE-2023-24580)
- 使用 Launch prompt 窗口中的下拉列表更改凭证类型不再会导致屏幕消失(AAP-11444)。
-
升级 python 依赖项，其中包括从 Django 3.2 升级到 4.2.3、psycopg2 到 psycopg3，以及其他库。另外，在 UI 中添加了一个新设置，用于公开
CSRF_TRUSTED_ORIGIN设置(AAP-12345)。 - 修复了作业事件表上的较慢的数据库 UPDATE 语句，这可能会导致任务管理器超时(AAP-12586)。
- 修复了通过 Prompt On Launch 选项向作业添加新标签时，不会将标签添加到作业详情(AAP-14204)。
-
向控制器 UI 中添加了
noopener和noreferrer属性，这些链接缺少这些属性(AAP-14345)。 - 修复了 Edit Subscription Details 页面中的 broken User Guide 链接(AAP-14375)。
- 关闭缺少了该属性的其余控制器 UI 表单的自动完成功能(AAP-14442)。
- 现在，具有正确权限的用户可以访问凭证页面中的 Add 按钮(AAP-14525)。
- 修复了在使用大小为 10 (AAP-14675)的清单时添加新主机时出现的意外错误。
-
在运行凭证查找插件时，从
AWX_TASK_ENV设置应用环境变量(AAP-14683)。 - 如果作业在执行节点(AAP-14878)上运行，则中断作业（如已取消的作业）不再从主机清除事实。
-
使用缺少
usage属性的许可证不再返回 400 错误(AAP-14880)。 -
修复了 HashiCorp Vault Secret Lookup 响应下的子键，以检查 secret （如果找到）(AAP-14946)。
- 修复了 Ansible 事实，以便在出现数据库死锁(AAP-15021)时重试保存到主机。
8.8.14.2. Event-Driven Ansible
- automation-eda-controller：在导入项目时公开的令牌(CVE-2023-4380)
- python3-cryptography/python39-cryptography: memory corruption via immutable objects (CVE-2023-23931)
- python3-requests/python39-requests: Unintended leak of Proxy-Authorization header (CVE-2023-32681)
- 贡献者和编辑器角色现在具有访问用户的权限并设置 AWX 令牌(AAP-11573)。
- 加入向导现在请求控制器令牌创建(AAP-11907)。
-
更正了 Rule Audit 屏幕的过滤功能，以便搜索结果以函数
开头(AAP-11987)。 - 启用或禁用规则手册激活不再增加 1 的重启计数器(AAP-12042)。
- 根据文本字符串过滤现在显示所有 UI 中的适用项目，包括那些在那个时间无法在(AAP-12446)列表中可见的项目。
- 当使用多个作业(AAP-12522)运行激活时，审计记录不再缺失。
- 当作业模板失败时，事件有效负载不再缺少密钥属性(AAP-12529)。
- 修复了导入项目失败时出现的 Git 令牌泄漏(AAP-12767)。
- Kubernetes (k8s)中的重启策略现在会重启一个成功激活，该激活被错误地标记为 failed (AAP-12862)。
- 现在，无论您要禁用还是启用它们，都会正确报告激活状态(AAP-12896)。
-
当
run_job_template操作失败时，ansible-rulebook 会在激活输出中打印错误日志，并在规则审计中创建条目，以便用户被警告规则失败(AAP-12909)。 - 当用户尝试从列表中批量删除规则手册激活时，请求现在可以成功完成并一致(AAP-13093)。
- Rulebook 激活 链接现在可以在 规则审计详情 UI (AAP-13182)中正常工作。
-
现在，如果处理的规则手册有一个
run_job_template操作(AAP-13209)，ansible-rulebook 现在才会连接到控制器。 - 修复了一些审计规则记录错误的规则链接(AAP-13844)的错误。
- 修复了只有前 10 个审计规则具有正确的链接(AAP-13845)的错误。
- 在此次更新之前，如果项目中使用的凭证有变化，则无法更新项目凭证。在这个版本中，可以使用新的或不同的凭证(AAP-13983)）在项目中更新凭证。
- 导航面板的 User Access 部分在创建决策环境(AAP-14273)后不再消失。
- 修复了过滤审计规则无法在 OpenShift Container Platform (AAP-14512)上正常工作的错误。
8.8.15. RHBA-2023:4621 - 捆绑包安装程序版本 2.4-1.2 - 2023 年 8 月 10 日
8.8.15.1. 自动化控制器
- 自动化控制器：在自定义登录信息中的 Html 注入(CVE-2023-3971)
- 机构管理员用户不再在 Instances 列表中显示错误(AAP-11195)。
- 修复了工作流批准中的工作流作业，以显示正确的详情(AAP-11433)。
- 在临时命令提示中搜索凭证名称不再需要区分大小写的输入(AAP-11442)。
- 控制器 UI 中的 Back to list 按钮现在维护以前的搜索过滤器(AAP-11527)。
- 拓扑视图 和实例仅作为 System Administrators 和 System Auditors (AAP-11585)的边栏菜单选项提供。
- 修复了调度程序的频率，以便每周的某一天由用户(AAP-11776)指定。
- 修复了在使用嵌套任务(include_tasks)导致任务管理器超时时较慢的数据库 UPDATE 语句的问题(AAP-12586)。
- 添加了从 UI 添加执行和跃点节点到基于虚拟机的控制器安装的功能(AAP-12849)。
-
添加了
awx-manage命令，用于创建将来的事件表分区(AAP-12907)。 - 通过提供正确的 Pendo API 密钥(AAP-13415)来重新启用 Pendo 支持。
- 添加了使用对话框中的部分名称来过滤团队的功能，以授予团队对资源的访问权限(AAP-13557)。
- 修复了一个没有 BYDAY 值的每周 rrule 字符串会导致 UI 抛出 TypeError (AAP-13670)的错误。
- 修复了在事件分区迁移前删除工作流作业时出现的服务器错误(AAP-13806)。
- 添加了新批量 API 端点的 API 参考文档(AAP-13980)。
- 修复了在某些情况下无法看到相关项目的问题。例如，作业模板实例组、机构 galaxy 凭证和机构实例组(AAP-14057)。
8.8.16. RHBA-2023:4288 - 捆绑包安装程序版本 2.4-1.1 - 2023 年 7 月 26 日
8.8.16.1. Automation hub
-
使用
gpg密钥签名服务(AAH-2445)的 gpg 密钥解决了这个问题。
