PT-2020-5206 · Red Hat+3 · Ansible Engine+3
Damien Aumaitre
+1
·
Publicado
2020-03-12
·
Atualizado
2026-06-03
·
CVE-2020-10684
CVSS v3.1
7.9
Alta
| Vetor | AV:L/AC:L/PR:L/UI:R/S:C/C:N/I:H/A:H |
Nome do software vulnerável e versões afetadas
Ansible Engine, versões 2.7.x a 2.7.17
Ansible Engine, versões 2.8.x a 2.8.9
Ansible Engine, versões 2.9.x a 2.9.6
Descrição
Foi encontrada uma falha no Ansible Engine ao usar
ansible facts como uma subchave de si mesmo e promovê-la a uma variável quando o inject está habilitado, sobrescrevendo o ansible facts após a limpeza. Um invasor poderia se aproveitar disso alterando o ansible facts, como ansible hosts, users e quaisquer outros dados-chave, o que levaria à escalada de privilégios ou à injeção de código.Recomendações
Para as versões 2.7.x a 2.7.17 do Ansible Engine, atualize para a versão 2.7.17 ou posterior.
Para as versões 2.8.x a 2.8.9 do Ansible Engine, atualize para a versão 2.8.9 ou posterior.
Para as versões 2.9.x a 2.9.6 do Ansible Engine, atualize para a versão 2.9.6 ou posterior.
Como solução alternativa temporária, considere desativar o uso de
ansible facts como uma subchave de si mesmo quando a injeção estiver habilitada, a fim de minimizar o risco de exploração.Correção
Race Condition
Missing Authorization
Code Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Ansible-Core
Ansible Engine
Astra Linux