Red Hat Summit 红帽全球峰会支持控制台（Console）开发人员开始试用联系人

8.11. RPM 发行版本

Expand
表 8.1. 每个勘误公告的组件版本
勘误公告组件版本

RHSA-2024:7312
2024 年 9 月 27 日

  • ansible-automation-platform-installer 2.4-7.1
  • ansible-core 2.15.12
  • 自动化控制器 4.5.12
  • Automation hub 4.9.2
  • event-Driven Ansible 1.0.7

RHSA-2024:6765
2024 年 9 月 18 日

  • ansible-automation-platform-installer 2.4-7.1
  • ansible-core 2.15.12
  • 自动化控制器 4.5.11
  • Automation hub 4.9.2
  • event-Driven Ansible 1.0.7

RHSA-2024:6428
2024 年 9 月 5 日

  • ansible-automation-platform-installer 2.4-7.1
  • ansible-core 2.15.12
  • 自动化控制器 4.5.10
  • Automation hub 4.9.2
  • event-Driven Ansible 1.0.7

RHSA-2024:4522
2024 年 7 月 12 日

  • ansible-automation-platform-installer 2.4-7.1
  • ansible-core 2.15.12
  • 自动化控制器 4.5.8
  • Automation hub 4.9.2
  • event-Driven Ansible 1.0.7

RHSA-2024:3781
Jun 10, 2024

  • ansible-automation-platform-installer 2.4-7.1
  • ansible-core 2.15.11
  • 自动化控制器 4.5.7
  • Automation hub 4.9.2
  • event-Driven Ansible 1.0.7

8.11.1. RHSA-2024:7312 - 2024 年 9 月 27 日
复制链接

RHSA-2024:7312

8.11.1.1. General
复制链接

在这个版本中，解决了以下 CVE：

  • CVE-2024-215 20-跨站点脚本(XSS)通过 break_long_headers.

    • 软件包已更新： automation-controller: djangorestframework.

  • 在跨 原始重定向过程中不会剥离 CVE -2024-37891- proxy-authorization 请求标头。

    • 软件包已更新： automation-controller: urllib3。

  • CVE-2024-41810- Reflected XSS by HTML injection in redirect 响应。

    • 软件包已更新： automation-controller。

8.11.1.2. 自动化控制器
复制链接

  • 修复了 Galaxy 凭证，以便在使用 'ansible.controller.organization'(AAP-31398)）分配它们时正确排序。
  • 修复了缺少 '_unpartitioned_main_jobevent' 表(AAP-31053)导致的收集失败的问题。

8.11.2. RHSA-2024:6765 - 2024 年 9 月 18 日
复制链接

RHSA-2024:6765

8.11.2.1. General
复制链接

在这个版本中，解决了以下 CVE：

  • CVE-2024-7143 - RBAC 权限错误地分配在创建对象的任务中。

    • 软件包已更新： python-pulpcore 和 python39-pulpcore。

  • 在跨 原始重定向过程中不会剥离 CVE -2024-37891- proxy-authorization 请求标头。

    • 软件包已更新： python-urllib3: urllib3。

  • CVE-2024-24788 -格式错误的 DNS 信息可能会导致死循环。

    • 软件包已更新： receptor: golang: net。

  • CVE-2024-24790 - 来自 Is methods for IPv4-mapped IPv6 地址的意外行为。

    • 软件包已更新： receptor: golang: net 和 receptor: golang: netip.

8.11.2.2. 自动化控制器
复制链接

  • 更新了在启用了分析收集时，发送分析数据回退以使用 Red Hat Subscription Manager 订阅凭证(AAP-30228)。
  • 升级 'channels-redis' 库来修复 Redis 连接泄漏(AAP-30sat)。

8.11.3. RHSA-2024:6428 - 2024 年 9 月 5 日
复制链接

RHSA-2024:6428

8.11.3.1. General
复制链接

  • 在检查或应用更新时，gunicorn python 软件包将不再是过时的(AAP-28364)。

在这个版本中，解决了以下 CVE：

  • CVE-2024-42005 - QuerySet.values （） 和 values_list （） 中的潜在的 SQL 注入。

    • 软件包已更新： automation-controller: Django,python3-django, 和 python39-django.

  • CVE-2024-419 91- 潜在的拒绝 django.utils.html.urlize （） 和 AdminURLFieldWidget 中的服务漏洞。

    • 软件包已更新： automation-controller: Django,python3-django, 和 python39-django.

  • CVE-2024-41990 - 在 django.utils.html.urlize （） 中潜在的拒绝服务漏洞。

    • 软件包已更新： automation-controller: Django,python3-django, 和 python39-django.

  • CVE-2024-3 3663- 算法与 OpenSSH ECDSA 密钥和其他密钥格式混淆。

    • 软件包已更新： automation-controller: python-jose。

  • CVE-2024-32879 - 在 social-auth-app-django 中处理大小不当。

    • 软件包已更新： automation-controller: python-social-auth。

  • CVE-2024-6840 - 通过使用容器组通过作业执行来访问 Kubernetes API 服务器。

    • 软件包已更新： automation-controller。

  • CVE-2024-41989 - memory exhaustion in django.utils.numberformat.floatformat （）.

    • 软件包已更新： python3-django 和 python39-django。

  • CVE-2024-39614 - 在 django.utils.translation.get_supported_language_variant （） 中拒绝服务。

    • 软件包已更新： python3-django 和 python39-django。

  • CVE-2024-39330 - Potential directory-traversal in django.core.files.storage.Storage.save （）.

    • 软件包已更新： python3-django 和 python39-django。

  • CVE-2024-3932 9- Username 通过对具有不可用密码的用户的时间差异来枚举。

    • 软件包已更新： python3-django 和 python39-django。

  • CVE-2024-38875 - 在 django.utils.html.urlize （） 中拒绝服务。

    • 软件包已更新： python3-django 和 python39-django。

  • CVE-2024-7246 - 客户端与 HTTP/2 代理通信，可以在代理和后端之间对 HPACK 表进行 poison。

    • 软件包已更新： python3-grpcio 和 python39-grpcio。

  • 通过精心设计的 .zip 文件，CVE-2024-5569 - denial of service (infinite loop)。

    • 软件包已更新： python3-zipp 和 python39-zipp。

8.11.3.2. 自动化控制器
复制链接

  • 更新了 receptor，在 RECEPTOR_KEEP_WORK_ON_ERROR 被设置为 true 时不会自动释放 receptor 工作单元(AAP-27635)。
  • 更新了 REST API 中的 Help 链接，以指向最新的 API 参考文档(AAP-27573)。
  • 修复了在尝试加载具有大量活动记录(AAP-26772)的活动流时的 UI 中的超时错误。

8.11.3.3. Automation hub
复制链接

  • API 浏览器现在可以正确地转义 JSON 值(AAH-3272, AAP-14463)。

8.11.4. RHSA-2024:4522 - 2024 年 7 月 12 日
复制链接

RHSA-2024:4522

8.11.4.1. General
复制链接

在这个版本中，解决了以下 CVE：

  • CVE-2024-340 64- Jinja 接受包含非属性字符的密钥。

    • 软件包已更新： automation-controller: jinja2。

  • CVE-2024-2810 2- malicious JWE 令牌可能会导致拒绝服务。

    • 软件包已更新： automation-controller: jwcrypto.

  • CVE-2024-35195 - 对同一主机的多个请求会忽略证书验证。

    • 软件包已更新： automation-controller：请求.

8.11.4.2. 自动化控制器
复制链接

  • 修复了一个错误，如果指定了，控制器不会遵循 DATABASES['OPTIONS'] 设置。
  • 更改了所有使用 ImplicitRoleField 来执行 on_delete=SET_NULL (AAP-25136)。
  • 修复了 HostMetric 自动计数器，以显示正确的值(AAP-25115)。
  • 添加了 Django 注销重定向(AAP-24543)。
  • 更新了分配程序，使数据库密码是可选的，以支持不需要它们的 PostgreSQL 身份验证方法(AAP-22231)。

RHSA-2024:3781

8.11.5.1. General
复制链接

  • 将 automation-controller-cli 软件包添加到 ansible-developer RPM 存储库(AAP-23368)。

在这个版本中，解决了以下 CVE：

  • CVE-2023-45288 - 无限数量的 CONTINUATION 帧会导致拒绝服务(DoS)。

    • 软件包已更新： receptor: golang: net/http, x/net/http2.

  • CVE-2023-45290 - Request.ParseMultipartForm 中的内存耗尽。

    • 软件包已更新： receptor: golang: net/http.

  • CVE-2023-49083 - 加载 PKCS7 证书时 null-pointer dereference。

    • 软件包已更新： python3-cryptography 和 python39-cryptography.

  • CVE-2023-50447 - 使用 environment 参数执行任意代码。

    • 软件包已更新： python3-pillow 和 python39-pillow.

  • CVE-2024-1135 - HTTP 请求交换，因为未验证 Transfer-Encoding 标头。

    • 软件包已更新： python3-gunicorn 和 python39-gunicorn。

  • CVE-2024-21503 - 在 string .py 文件中带有 lines_with_leading_tabs_expanded （） 函数的 lines_with_leading_tabs_expanded （） 函数的正则表达式拒绝服务(ReDoS)。

    • 软件包已更新： python3-black 和 python39-black.

  • CVE-2024-24783 - 验证带有未知公钥算法的证书上的 panics。

    • 软件包更新： receptor: golang: crypto/x509.

  • CVE-2024-26130 - 当使用不匹配证书和私钥和 hmac_hash 覆盖调用时，使用 pkcs12.serialize_key_and_certificates 调用的 NULL 指针解引用。

    • 软件包已更新： python3-cryptography 和 python39-cryptography.

  • CVE-2024-27306 - 在用于静态文件处理的索引页面上的跨站点脚本(XSS)

    • 软件包已更新： python3-aiohttp 和 python39-aiohttp。

  • CVE-2024-27351 - django.utils.text.Truncator.words （） 中潜在的 ReDoS。

    • 软件包已更新： automation-controller: Django.

  • CVE-2024-28219 - _imagingcms.c 中的缓冲区溢出。

    • 软件包已更新： python3-pillow 和 python39-pillow.

  • CVE-2024-28849 - 可能的凭证泄漏。

    • 软件包已更新： python3-galaxy-ng: follow-redirects,python39-galaxy-ng: follow-redirects, 和 automation-hub: follow-redirects.

  • CVE-2024-30251 - 当尝试解析不正确的 POST 请求时，DoS。

    • 软件包已更新： python3-aiohttp,python39-aiohttp, 和 automation-controller: aiohttp.

  • CVE-2024-32879 - 在 social-auth-app-django 中处理大小不当。

    • 软件包已更新： python3-social-auth-app-django 和 python39-social-auth-app-django。

  • CVE-2024-34064 - xmlattr 过滤器接受包含非属性字符的密钥。

    • 软件包已更新： python3-jinja2 和 python39-jinja2。

  • CVE-2024-35195 - 对同一主机的额外请求忽略证书验证。

    • 软件包已更新： python3-requests 和 python39-requests.

  • CVE-2024-3651 - 通过特殊精心设计的输入到 idna.encode （） 的潜在 DoS，具有资源消耗。

    • 软件包已更新： python3-idna 和 python39-idna。

  • CVE-2024-3772 - ReDoS 带有精心设计的电子邮件字符串。

    • 软件包已更新： python3-pydantic,python39-pydantic, 和 automation-controller: python-pydantic.

  • CVE-2024-4340 - 解析大量嵌套列表会导致 DoS。

    • 软件包已更新： python3-sqlparse 和 python39-sqlparse。

  • CVE-2023-5752 - 当使用 pip 安装时，在存储库修订中的 Mercurial 配置注入。

    • 软件包已更新： automation-controller: pip.

8.11.5.2. 自动化控制器
复制链接

  • 修复了自动化控制器版本 4.5.6 (AAP-24286)的 Redis 连接泄漏。
  • 修复了 Python uwsgitop 脚本(AAP-22461)）的 #! 解释器指令（也称为 shebang）。

8.11.5.3. Automation hub
复制链接

  • 在这个版本中，获取命名空间的用户列表不包括组成员(AAH-3121)。
  • 修复了在同步社区存储库(AAH-3111)时导致 "Calculated digest not equal passed in digest" 错误的问题。
  • 修复了在将自动化中心更新到最新版本失败(AAH-3218)后同步 rh-certified 存储库的问题。

8.11.5.4. Event-Driven Ansible
复制链接

  • 向安装程序(AAP-21620)添加了对 eda-server 的 SAFE_PLUGINS_FOR_PORT_FORWARD 设置的支持。
  • 在这个版本中，eda-server 会打开规则手册的端口，它有一个源插件，只有在设置中允许该插件时才需要入站连接(AAP-17416)。
  • 修复了在达到 2048 个 pod 限制后无法启动激活的问题，因为卷清理错误(AAP-21065)。
  • 修复了由于卷清理错误导致一些激活失败的问题(AAP-22132)。
  • 在这个版本中，activation-worker 和 worker 目标可以正确地停止 worker 服务，与其他所需的 Event-Driven Ansible 服务(AAP-23735)独立。

RHSA-2024:1057

8.11.6.1. Automation hub
复制链接

  • 显示自动化中心中每个集合的下载计数(AAP-18298)。

8.11.6.2. Event-Driven Ansible
复制链接

  • 添加了参数来控制每个 Event-Driven Ansible worker 服务(AAP-20672)的运行激活数量。
  • 添加了 EDA_CSRF_TRUSTED_ORIGINS，它可以由用户输入设置，或者根据安装程序(AAP-20244)决定的允许的主机名定义。
  • 现在，当预先存在的自动化控制器版本为 4.4.0 或更早的版本(AAP-20241)时，Event-Driven Ansible 安装会失败。
  • 为 containers.conf 添加了 podman_containers_conf_logs_max_size 变量，以控制 Podman 安装的最大日志大小。默认值为 10 MiB (AAP-19775)。
  • 将 Event-Driven Ansible debug 标志设置为 false 现在可以正确地禁用 Django 调试模式(AAP-19577)。
  • 现在，在为 Podman 应用 Event-Driven Ansible linger 设置时，会定义 XDG_RUNTIME_DIR (AAP-19265)。
  • 修复了在使用自定义 https 端口(AAP-19137)时的 Event-Driven Ansible nginx 配置的问题。
  • 这个版本中的一些功能被归类为开发者预览，包括 Event-Driven Ansible 的 LDAP 身份验证功能。有关这些事件驱动 Ansible 开发人员预览功能的更多信息，请参阅 Event-Driven Ansible - Developer Preview。

RHSA-2024:0733

8.11.7.1. 自动化控制器
复制链接

  • 修复了导致 rsyslogd 停止向 Splunk HTTP Collector (AAP-19069)发送事件的错误。

8.11.7.2. Automation hub
复制链接

  • 自动化中心现在在 nginx 中使用系统加密策略(AAP-18974)。

8.11.7.3. Event-Driven Ansible
复制链接

  • 修复了在将 Event-Driven Ansible 固定到旧版本时导致手动安装失败的错误(AAP-19399)。

RHBA-2024:0104

8.11.8.1. General
复制链接

  • 修复了条件代码语句，使其与 ansible-core issue #82295 (AAP-19099)的更改一致。
  • 修复了导致为控制器中的执行节点跳过 update-ca-trust 处理程序的问题(AAP-18911)。
  • 改进了自动化控制器的错误页面(AAP-18840)。
  • 实施 libffi 修复，以避免在失败的导入时进行 uWSGI 核心转储(AAP-18196)。
  • 修复了在之前未完成升级导致的升级后检查许可证类型的问题(AAP-17615)。
  • 现在，当检查 Postgres 版本的 SSL 模式 verify-full (AAP-15374)时，postgres 证书会被临时复制。

8.11.9. RHBA-2023:7460 - 2023 年 11 月 21 日
复制链接

RHBA-2023:7460

8.11.9.1. General
复制链接

  • 修复了在从备份中恢复 Event-Driven Ansible 时选择不正确的目标数据库的错误(AAP-18151)。
  • 在 FIPS 环境中创建用户的 postgres 任务现在使用 scram-sha-256 (AAP-17516)。
  • 所有 Event-Driven Ansible 服务会在安装完成后启用(AAP-17426)。
  • 在运行备份和恢复之前，请确保清理所有备份和恢复暂存的文件和目录。您还必须在备份或恢复后标记要删除的文件(AAP-16101)。
  • 将 nginx 更新至 1.22 (AAP-15962)。
  • 向虚拟机添加了一个任务，该任务将运行 awx-manage 命令，以在执行 pg_dump 前预先创建事件表分区，并为预先创建的默认小时数添加一个变量(AAP-15920)。

8.11.9.2. Event-Driven Ansible
复制链接

  • 修复了在在没有控制器的情况下安装 Event-Driven Ansible 时的自动化控制器 URL 检查的问题(AAP-18169)。
  • 为 Event-Driven Ansible 激活添加了单独的 worker 队列，以不会影响应用程序任务，如项目更新(AAP-14743)。

RHBA-2023:5347

8.11.10.1. General
复制链接

  • 现在，当使用 a -k 选项(AAP-15565)运行 setup.sh 时，安装程序会正确生成新的 SECRET_KEY。
  • 添加了 Podman 的临时文件清理，以防止在作业执行过程中 无法重新执行进程 错误（AAP-1586]。
  • 添加了每个组件的额外 nginx 配置的新变量(AAP-15overlayfs)。
  • 安装程序现在可以正确地强制每个 Ansible Automation Platform 安装(AAP-15122)只强制有一个 Event-Driven Ansible 主机。
  • 现在，您可以在升级时将自动化中心中的执行环境镜像同步到自动化控制器(AAP-15121)。
  • awx 用户配置现在支持无根 Podman (AAP-15072)。
  • 现在，您可以在执行节点上将 /var/lib/awx 目录作为单独的文件系统挂载(AAP-15065)。
  • 修复了 Event-Driven Ansible 用户的 linger 配置(AAP-14745)。
  • 修复了用于为内部 postgres 安装签名安装程序受管证书的值(AAP-14236)。
  • 现在，只有在启用了 https 时，才会检查组件主机的主题备用名称(AAP-14235)。
  • 修复了 postgres sslmode，用于对内部管理的 postgres (AAP-13962)影响 external postgres 和 postgres signed for 127.0.0.1 的问题。
  • 更新了清单文件，使其包含提供的 SSL Web 证书的 SSL 密钥和证书参数(AAP-13854)。
  • 修复了 awx-rsyslogd 进程的问题，它以错误的用户(AAP-13664)开头。
  • 修复了恢复过程无法在 RHEL 9 上停止 pulpcore-worker 服务(AAP-13xdg)的问题。
  • Podman 配置现在可以正确地与 Event-Driven Ansible 主目录(AAP-13289)保持一致。
返回顶部
Red Hat logoGithubredditYoutubeTwitter

学习

尝试、购买和销售

社区

关于红帽文档

通过我们的产品和服务，以及可以信赖的内容，帮助红帽用户创新并实现他们的目标。 了解我们当前的更新.

让开源更具包容性

红帽致力于替换我们的代码、文档和 Web 属性中存在问题的语言。欲了解更多详情，请参阅红帽博客.

關於紅帽

我们提供强化的解决方案，使企业能够更轻松地跨平台和环境（从核心数据中心到网络边缘）工作。

Theme

© 2025 Red Hat