Chris Meyers

A flaw was found in the Event-Driven Ansible (EDA) server. The ExternalEventStreamViewSet uses permissive access controls (permission classes=[AllowAny], authentication classes=[]) and relies solely on the Subject HTTP header value for mTLS authentication without verifying that the header originated from a trusted proxy. Additionally, the expected certificate Distinguished Name is leaked in the 403 error response body. An attacker who can reach the EDA API endpoint with a spoofed Subject header can inject arbitrary events into mTLS-protected event streams, triggering downstream automation actions.

**Nome do Software Vulnerável e Versões Afetadas** Ansible Automation Platform (versões afetadas não especificadas) **Descrição** Uma falha na configuração do proxy Envoy do AAP Gateway permite que um invasor remoto não autenticado ignore a autenticação mTLS. A rota não-mTLS para fluxos de eventos EDA não remove o cabeçalho HTTP `Subject` das requisições do cliente. Ao injetar um cabeçalho `Subject` falsificado que corresponda ao Nome Distinto (DN) de um certificado de cliente legítimo, um invasor pode injetar eventos arbitrários em fluxos de eventos EDA protegidos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Event-Driven Ansible (versões afetadas não especificadas) **Description** Uma falha de autorização foi encontrada na API de websocket. O endpoint '/api/eda/ws/ansible-rulebook' não verifica as permissões do usuário ao processar mensagens do Worker. Isso permite que qualquer usuário autenticado envie uma mensagem forjada com um `activation id` arbitrário para receber credenciais em texto simples associadas a essa ativação, incluindo tokens OAuth, senhas de cofre (vault) e chaves SSH. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** galaxy ng (versões afetadas não especificadas) **Descrição** Um problema de injeção de comando existe na API de importação de funções legadas (v1), onde a função `do git checkout()` interpola nomes de referência git não sanitizados, como nomes de branches ou tags, em comandos de shell executados via `subprocess.run()` com `shell=True`. Um usuário autenticado com controle sobre um repositório git pode usar metacaracteres de shell em um nome de branch ou tag para alcançar a execução remota de código no trabalhador pulp. Este endpoint só está acessível quando a variável `GALAXY ENABLE LEGACY ROLES` está definida como True. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade. Defina `GALAXY ENABLE LEGACY ROLES` como False para desativar a API de importação de funções legadas vulnerável.

**Nome do Software Vulnerável e Versões Afetadas** Ansible aap-gateway (versões afetadas não especificadas) **Descrição** Foi identificada uma falha no Ansible aap-gateway, na qual solicitações simultâneas manipuladas pelo serviço grpc do gateway podem resultar em problemas de concorrência devido a condições de corrida nas solicitações contra o proxy. Esse problema potencialmente permite que um usuário com menos privilégios obtenha o JWT de um usuário com mais privilégios, possibilitando o comprometimento do servidor. Uma sessão de usuário ou dados confidenciais podem ficar vulneráveis. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.