Ansible · Ansible · CVE-2024-8775
Nome do software vulnerável e versões afetadas:
Ansible (versões afetadas não especificadas)
Descrição:
Foi identificada uma falha no Ansible em que informações confidenciais armazenadas nos arquivos do Ansible Vault podem ser expostas em texto simples durante a execução de um playbook. Isso ocorre ao usar tarefas como `include vars` para carregar variáveis armazenadas no Vault sem definir o parâmetro `no log: true`, resultando na exibição de dados confidenciais na saída do playbook ou nos logs. Isso pode levar à divulgação não intencional de segredos, como senhas ou chaves de API, comprometendo a segurança e potencialmente permitindo acesso ou ações não autorizadas.
Recomendações:
Como solução temporária, considere definir o parâmetro `no log: true` ao usar tarefas como `include vars` para carregar variáveis armazenadas no vault até que um patch esteja disponível.
Restrinja o acesso à saída do playbook e aos logs para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.