发行说明¶

有关完整的自动化平台文档，请参阅最新的 Red Hat Ansible 自动化平台产品文档。

对于自动化控制器 4.4 及更早版本，请参阅 Automation Controller 文档存档。

Automation Controller 版本 4.5.12¶

Automation Controller 修复

安全修复

更新 twisted 以修复可能导致重定向响应 HTML 正文中的反射型跨站点脚本 (XSS) 的 HTML 注入漏洞 (CVE-2024-41810) (AAP-28121)
更新 urllib3 以在跨域重定向期间默认自动剥离 Proxy-Authorization 标头 (CVE-2024-37891) (AAP-27468)
更新了包 djangorestframework，以避免通过 break_long_headers 模板过滤器导致的跨站点脚本 (XSS) 漏洞 (CVE-2024-21520) (AAP-26186)

Automation Controller 修复

安全修复

修复了与 QuerySet.values() 和 values_list() 中的 SQL 注入相关的潜在安全漏洞 (CVE-2024-42005) (AAP-28564)
修复了 django.utils.html.urlize() 和 AdminURLFieldWidget 中的潜在拒绝服务漏洞 (CVE-2024-41991) (AAP-28558)
修复了 django.utils.html.urlize() 中的潜在拒绝服务漏洞 (CVE-2024-41990) (AAP-28548)
修复了控制器，以防止在容器组 Pod 规范覆盖中将 automountServiceAccountToken 设置为 true (CVE-2024-6840) (AAP-27352)
修复了 OpenSSH ECDSA 密钥和其他密钥格式的算法混淆问题 (CVE-2024-33663) (AAP-23457)
修复了 social-auth-app-django 中不正确的大小写敏感性处理 (CVE-2024-32879) (AAP-23392)

此版本与 4.5.10 版本合并发布。

Automation Controller 修复

安全修复

更新了 requirements 文件，以要求 requests 的版本大于或等于固定版本 (CVE-2024-35195) (AAP-24411)
更新了 requirements 文件，以要求 Jinja2 依赖项的版本大于或等于固定版本 (CVE-2024-34064) (AAP-23790)
更新了 requirements 文件，以要求 python-jwcrypto 和 typing_extensions 依赖项的固定版本 (CVE-2024-28102) (AAP-21665)

Automation Controller 修复

安全修复

解决了 aiohttp 在尝试解析格式错误的 POST 请求时出现拒绝服务 (DoS) 的问题 (CVE-2024-30251) (AAP-23653)
解决了一个 python-pydantic 问题，即通过精心制作的电子邮件字符串引起的正则表达式 DoS (CVE-2024-3772) (AAP-22856)
解决了一个 python-django 问题，即 django.utils.text.Truncator.words() 中潜在的正则表达式 DoS (CVE-2024-27351) (AAP-21133)
修复了通过 pip 安装时可在 repo 修订版中注入的 Mercurial 配置问题 (CVE-2023-5752) (AAP-18435)

此版本与 4.5.7 版本合并发布。

Automation Controller 修复

安全修复

解决了当将用户输入作为键传递到 xmlattr 过滤器时，Jinja2 出现 HTML 属性注入的问题 (CVE-2024-22195) (AAP-19433)
解决了 aiohttp 的 follow_symlinks 目录遍历漏洞问题 (CVE-2024-23334) (AAP-20064)
解决了 aiohttp 的 HTTP 请求走私问题 (CVE-2024-23829) (AAP-20073)
解决了 Django intcomma 模板过滤器中的 denial-of-service 问题 (CVE-2024-24680) (AAP-20057)
解决了 GitPython 的盲本地文件包含问题 (CVE-2023-41040) (AAP-17710)
解决了 Axios 的暴露存储在 Cookie 中的机密数据的问题 (CVE-2023-45857) (AAP-21240)
解决了 twisted 中 twisted.web 模块的 HTTP 管道响应顺序错乱问题 (CVE-2023-46137) (AAP-17652)
解决了 aiohttp 中 HTTP 解析器在解析头部时出现的问题 (CVE-2023-47627) (AAP-18266)
解决了 cryptography 模块在加载 PKCS7 证书时出现 NULL 指针解引用的问题 (CVE-2023-49083) (AAP-19154)

这些版本已与 4.5.5 版本合并。

修复了在数据库恢复连接后，作业卡在待处理状态的问题 (AAP-19618)
添加了用户登录 Cookie 的安全标志选项，如果 SESSION_COOKIE_SECURE 设置为 True (AAP-19602)
修复了 twilio_backend.py 以便将短信发送到多个目的地 (AAP-19284)
修复了 rsyslogd 意外停止向 Splunk HTTP Collector 发送事件的问题，并恢复 rsyslog 从 4xx 错误中恢复 (AAP-19069)
修复了自动化控制器用户界面中“日志设置编辑”表单中的 TypeError，使其不再使表单输入无法访问 (AAP-18960)
修复了 Delinea（之前为 Thycotic）DevOps Secrets Vault 凭证插件，使其能够与 python-dsv-sdk>=1.0.4 一起使用 (AAP-18701)
更新了 urllib3，以防止跨域重定向期间暴露 cookie 请求头 (AAP-17518) (CVE-2023-43804)
更新了计划启动时的提示字段，使其在编辑时保持持久化 (AAP-13859)