PT-2020-12287 · Ansible+1 · Ansible Engine+1
Jborean93
·
Publicado
2020-04-30
·
Atualizado
2026-06-03
·
CVE-2020-10691
CVSS v3.1
5.2
Média
| Vetor | AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:L |
Nome do software vulnerável e versões afetadas
Versões 2.9.x do ansible-engine anteriores à 2.9.7
Descrição
Foi encontrada uma falha de traversal de arquivos no ansible-engine ao executar a instalação do
ansible-galaxy collection. Ao extrair um arquivo .tar.gz da coleção, o diretório é criado sem sanitizar o nome do arquivo. Um invasor poderia se aproveitar disso para sobrescrever qualquer arquivo dentro do sistema.Recomendações
Para as versões 2.9.x anteriores à 2.9.7, atualize para a versão 2.9.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do comando
ansible-galaxy collection install até que um patch seja aplicado. Evite extrair arquivos .tar.gz de coleções de fontes não confiáveis para minimizar o risco de exploração.Correção
Path traversal
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Alt Linux
Ansible Engine