8.21.5. RHSA-2024:3781 - 安全公告 - 2024 年 6 月 10 日
8.21.5.1. General
-
将
automation-controller-cli软件包添加到ansible-developerRPM 存储库(AAP-23368)中。
在这个版本中，解决了以下 CVE：
CVE-2023-45288 - 无限数量的 CONTINUATION 帧会导致拒绝服务(DoS)。
-
软件包已更新：
receptor: golang: net/http, x/net/http2.
-
软件包已更新：
CVE-2023-45290 - memory exhaustion in
Request.ParseMultipartForm.-
软件包已更新：
receptor: golang: net/http.
-
软件包已更新：
CVE-2023-49083 - 加载 PKCS7 证书时 null-pointer dereference。
-
软件包已更新：
python3-cryptography和python39-cryptography.
-
软件包已更新：
CVE-2023-50447 - 使用 environment 参数执行任意代码。
-
软件包已更新：
python3-pillow和python39-pillow.
-
软件包已更新：
CVE-2024-1135 - HTTP 请求交换，因为未验证 Transfer-Encoding 标头。
-
软件包已更新：
python3-gunicorn和python39-gunicorn。
-
软件包已更新：
CVE-2024-21503- 正则表达式拒绝
字符串.py文件中的lines_with_leading_tabs_expanded （） 函数的 lines_with_tabs_expanded（） 函数。-
软件包已更新：
python3-black和python39-black.
-
软件包已更新：
CVE-2024-24783 - 验证带有未知公钥算法的证书上的 panics。
-
软件包已更新：
receptor: golang: crypto/x509.
-
软件包已更新：
当使用不匹配的证书和私钥以及
hmac_hash覆盖调用时，CVE-2024-26130 - NULL pointer dereference withpkcs12.serialize_key_and_certificates。-
软件包已更新：
python3-cryptography和python39-cryptography.
-
软件包已更新：
CVE-2024-27306 - 在用于静态文件处理的索引页面上的跨站点脚本(XSS)
-
软件包已更新：
python3-aiohttp和python39-aiohttp。
-
软件包已更新：
CVE-2024-27351-
django.utils.text.Truncator.words （）中的潜在的 ReDoS .-
软件包已更新：
automation-controller: Django.
-
软件包已更新：
CVE-2024-28219- 缓冲区溢出
_imagingcms.c.-
软件包已更新：
python3-pillow和python39-pillow.
-
软件包已更新：
CVE-2024-28849 - 可能的凭证泄漏。
-
软件包已更新：
python3-galaxy-ng: follow-redirects,python39-galaxy-ng: follow-redirects, 和automation-hub: follow-redirects.
-
软件包已更新：
CVE-2024-30251 - 当尝试解析不正确的 POST 请求时，DoS。
-
软件包已更新：
python3-aiohttp,python39-aiohttp, 和automation-controller: aiohttp.
-
软件包已更新：
CVE-2024-3287 9- incorrect processing of case sensitivity in
social-auth-app-django.-
软件包已更新：
python3-social-auth-app-django和python39-social-auth-app-django。
-
软件包已更新：
CVE-2024-340 64-
xmlattr过滤器接受包含非属性字符的密钥。-
软件包已更新：
python3-jinja2和python39-jinja2。
-
软件包已更新：
CVE-2024-35195 - 对同一主机的额外请求忽略证书验证。
-
软件包已更新：
python3-requests和python39-requests.
-
软件包已更新：
CVE-2024-3651 - 通过对
idna.encode （）的特殊设计的输入来利用资源消耗的潜在 DoS。-
软件包已更新：
python3-idna和python39-idna。
-
软件包已更新：
CVE-2024-3772 - ReDoS 带有精心设计的电子邮件字符串。
-
软件包已更新：
python3-pydantic,python39-pydantic, 和automation-controller: python-pydantic.
-
软件包已更新：
CVE-2024-4340 - 解析大量嵌套列表会导致 DoS。
-
软件包已更新：
python3-sqlparse和python39-sqlparse。
-
软件包已更新：
当使用
pip安装时，CVE-2023 -5752- Mercurial 配置注入存储库修订中的 配置注入。-
软件包已更新：
automation-controller: pip.
-
软件包已更新：
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}