Red Hat Security Advisory: RHOAI 3.3.5 - Red Hat OpenShift AI

Weakness-Klassen (CWE)

• CWE-345Class

  Insufficient Verification of Data Authenticity

  The product does not sufficiently verify the origin or authenticity of data, in a way that causes it to accept invalid data.

  cwe.mitre.org →

• CWE-863Class

  Incorrect Authorization

  The product performs an authorization check when an actor attempts to access a resource or perform an action, but it does not correctly perform the check.

  cwe.mitre.org →

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified2026-09-10 13:18 UTC· security-advisories@github.com
   • Reference: https://github.com/jpadilla/pyjwt/security/advisories/GHSA-752w-5fwx-jx9f
   • Reference: https://github.com/jpadilla/pyjwt/security/advisories/GHSA-752w-5fwx-jx9f
   • Reference Type: https://github.com/jpadilla/pyjwt/security/advisories/GHSA-752w-5fwx-jx9f Types: Exploit, Mitigation, Vendor Advisory
2. CVE Modified2026-09-10 13:18 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
   • Reference: https://github.com/jpadilla/pyjwt/security/advisories/GHSA-752w-5fwx-jx9f
   • Reference: https://github.com/jpadilla/pyjwt/security/advisories/GHSA-752w-5fwx-jx9f
   • Reference Type: https://github.com/jpadilla/pyjwt/security/advisories/GHSA-752w-5fwx-jx9f Types: Exploit, Mitigation, Vendor Advisory
3. CVE Modified2026-09-10 13:18 UTC· af854a3a-2127-422b-91ae-364da2661108
   • Reference: https://lists.debian.org/debian-lts-announce/2026/05/msg00008.html
   • Reference: https://lists.debian.org/debian-lts-announce/2026/05/msg00008.html
4. CVE Modified2026-09-10 13:18 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
   • Affected: Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/32xxx/CVE-2026-32597.json">CVE-2026-32597</a>
   • Reference: https://access.redhat.com/errata/RHSA-2026:10140
   • Reference: https://access.redhat.com/errata/RHSA-2026:10141
   • Reference: https://access.redhat.com/errata/RHSA-2026:10184
5. CVE Modified2026-07-22 12:17 UTC· 0b0ca135-0b70-47e7-9f44-1890c2a1c46c
   • Reference: https://access.redhat.com/errata/RHSA-2026:42644
   • Affected: Red Hat Ansible Automation Platform 2.5 for RHEL 8, Red Hat Ansible Automation Platform 2.5 for RHEL 8, Red Hat Ansible Automation Platform 2.5 for RHEL 9 (+79) → Red Hat Ansible Automation Platform 2.5 for RHEL 8, Red Hat Ansible Automation Platform 2.5 for RHEL 8, Red Hat Ansible Automation Platform 2.5 for RHEL 9 (+79)

Betroffene Betriebssysteme

• linux

  debian / debian_linux11.0

• linux

  redhat / enterprise_linux_ai3.0

Betroffene Produkte

Aus der Hersteller-/CERT-Meldung extrahierte Produkte und Versionsbereiche. Ein Version-Range wie „<4.14.6“ impliziert die Update-Empfehlung „auf 4.14.6 oder höher aktualisieren“.

• aiohttp

  aiohttp3.13.3

• aiohttp

  aiohttp3.14.0

• bitnami

  mlflow

• cryptography.io

  cryptography45.0.0 – 46.0.7

• danthedeckie

  simpleeval1.0.5

• encode

  starlette0.8.3 – 1.0.1

• golang

  crypto0.52.0

• golang

  go1.25.0 – 1.25.6

• golang

  go1.24.12

• grpc

  grpc1.79.3

• huggingface

  transformers

• IBM

  Concert< 3.0.0

  gefixt in 3.0.0

• IBM

  QRadar SIEM<7.5.0 UP15 IF06

• keras

  keras

• langchain

  langchain_core1.2.22

• nltk

  nltk3.9.3

• protobufjs_project

  protobufjs7.5.5

• protobufjs_project

  protobufjs

• pyasn1

  pyasn10.6.2

• pyasn1

  pyasn10.6.3

• pyjwt_project

  pyjwt2.12.0

• pyjwt_project

  pyjwt2.13.0

• pypa

  pip26.1.2

• pypi

  multipart0.1

Quellen & Referenzen

• https://github.com/protobufjs/protobuf.js/security/advisories/GHSA-xq3m-2v4x-88gg
  web
• https://nvd.nist.gov/vuln/detail/CVE-2026-41242
  advisory
• https://github.com/protobufjs/protobuf.js/commit/535df444ac060243722ac5d672db205e5c531d75
  web
• https://github.com/protobufjs/protobuf.js/commit/ff7b2afef8754837cc6dc64c864cd111ab477956
  web
• https://github.com/protobufjs/protobuf.js
  package
• https://github.com/protobufjs/protobuf.js/releases/tag/protobufjs-v7.5.5
  web
• https://github.com/protobufjs/protobuf.js/releases/tag/protobufjs-v8.0.1
  web
• https://access.redhat.com/security/cve/CVE-2026-41242
  vdb-entryx_refsource_REDHAT
• https://bugzilla.redhat.com/show_bug.cgi?id=2459442
  issue-trackingx_refsource_REDHAT
• https://security.access.redhat.com/data/csaf/v2/vex/2026/cve-2026-41242.json
  x_sadp-csaf-vex
• https://access.redhat.com/errata/RHSA-2026:21338
  vendor-advisoryx_refsource_REDHAT
• https://access.redhat.com/errata/RHSA-2026:26234
  vendor-advisoryx_refsource_REDHAT
• https://access.redhat.com/errata/RHSA-2026:24977
  vendor-advisoryx_refsource_REDHAT
• https://access.redhat.com/errata/RHSA-2026:37275
  vendor-advisoryx_refsource_REDHAT
• https://access.redhat.com/errata/RHSA-2026:62260
  vendor-advisoryx_refsource_REDHAT
• https://github.com/remix-run/react-router/security/advisories/GHSA-8646-j5j9-6r62
  web
• https://nvd.nist.gov/vuln/detail/CVE-2026-33245
  advisory
• https://github.com/remix-run/react-router
  package
• https://github.com/jpadilla/pyjwt/security/advisories/GHSA-xgmm-8j9v-c9wx
  evidence
• https://access.redhat.com/security/cve/CVE-2026-48526
  vdb-entryx_refsource_REDHAT

Verknüpfte CVEs

• CVE-2026-8643

  Pip würde `console_scripts` und `gui_scripts` als Pfade statt Dateinamen behandeln, ohne den aufgelösten absoluten Pfad zum Installations…

  highCVSSv3 8.0
• CVE-2026-5241

  Eine Schwachstelle im Modell-Ladepfad von LightGlue in der Version 5.2.0 des huggingface/transformers-Pakets ermöglicht es einem Angreife…

  criticalCVSSv3 9.6
• CVE-2026-48710Aktiv ausgenutzt

  Starlette ist ein leichtgewichtiges ASGI-Framework/Toolkit.

  criticalCVSSv3 6.5
• CVE-2026-48526

  PyJWT ist eine Implementierung von JSON Web Token in Python.

  highCVSSv3 7.4
• CVE-2026-46595

  Früher wurde durch CVE-2024-45337 ein Umgehen der Autorisierung bei fehlerhaften SSH-Serverkonfigurationen behoben; wenn eine andere Art…

  criticalCVSSv3 10.0
• CVE-2026-44432

  urllib3 ist eine HTTP-Client-Bibliothek für Python.

  highCVSSv3 7.5
• CVE-2026-44431

  Urllib3 ist eine HTTP-Client-Bibliothek für Python.

  high
• CVE-2026-42561

  Python-Multipart ist ein Streaming-Multipart-Parser für Python.

  highCVSSv3 7.5
• CVE-2026-41242

  `protobufjs` kompiliert Protobuf-Definitionen in JavaScript (JS)-Funktionen.

  criticalCVSSv3 9.8
• CVE-2026-40192

  Pillow ist eine Python-Bildverarbeitungsbibliothek.

  highCVSSv3 7.5
• CVE-2026-39892

  Die Kryptographie ist ein Paket, das kryptografische Primitive und Rezepte für Python-Entwickler bereitstellt.

  criticalCVSSv3 9.8
• CVE-2026-39830

  Ein böswilliger SSH-Peer könnte unbeauftragte globale Antwortnachrichten senden, um einen internen Puffer zu füllen und den Lese-Schleife…

  criticalCVSSv3 9.1
• CVE-2026-35536

  Ein Fehler wurde in Tornado gefunden.

  highCVSSv3 7.2
• CVE-2026-34993

  Ein Fehler wurde im AIOHTTP gefunden, einem asynchronen HTTP-Client/Server-Framework für asyncio und Python.

  highCVSSv3 7.3
• CVE-2026-34070

  LangChain ist ein Framework zum Aufbau von Agenten und LLM-gestützten Anwendungen.

  highCVSSv3 7.5
• CVE-2026-33699

  pypdf ist eine kostenlose und quelloffene reine Python-PDF-Bibliothek.

  medium
• CVE-2026-33245

  Ein Fehler wurde bei React Router gefunden.

  highCVSSv3 8.0
• CVE-2026-33236

  NLTK (Natural Language Toolkit) ist ein Paket von Open-Source-Python-Modulen, Datensätzen und Tutorials zur Unterstützung von Forschung u…

  highCVSSv3 8.1
• CVE-2026-33231

  NLTK (Natural Language Toolkit) ist ein Paket von Open-Source-Python-Modulen, Datensätzen und Tutorials zur Unterstützung von Forschung u…

  highCVSSv3 7.5
• CVE-2026-33186

  gRPC-Go ist die Go-Sprachimplementierung von gRPC.

  criticalCVSSv3 9.1
• CVE-2026-32640

  SimpleEval ist eine Bibliothek zum Hinzufügen auswertbarer Ausdrücke zu Python-Projekten.

  criticalCVSSv3 9.8
• CVE-2026-31958

  Tornado ist ein Python-Webframework und eine asynchrone Netzwerk-Bibliothek.

  high
• CVE-2026-30922

  pyasn1 ist eine generische ASN.1-Bibliothek für Python.

  highCVSSv3 7.5
• CVE-2026-28684

  Ein Fehler wurde in python-dotenv gefunden.

  mediumCVSSv3 6.6