PT-2020-6574 · Red Hat+2 · Ansible Engine+3
Bcoca
·
Publicado
2020-05-11
·
Atualizado
2026-06-03
·
CVE-2020-10685
CVSS v4.0
6.8
Média
| Vetor | AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Ansible Engine versões 2.7.x a 2.7.17
Ansible Engine versões 2.8.x a 2.8.11
Ansible Engine versões 2.9.x a 2.9.7
Ansible Tower versões 3.4.5 e anteriores
Ansible Tower versões 3.5.5 e anteriores
Ansible Tower versões 3.6.3 e anteriores
Descrição
Foi encontrada uma falha no Ansible Engine que afeta o uso de módulos que descriptografam arquivos do vault, como os módulos
assemble, script, unarchive, win copy, aws s3 ou copy. O diretório temporário criado em /tmp deixa dados confidenciais sem criptografia. Em sistemas operacionais onde /tmp não é um tmpfs, mas parte da partição raiz, o diretório só é limpo na inicialização, e os dados descriptografados permanecem quando o host é desligado. Isso deixa o sistema vulnerável quando ele não está em execução. Os dados descriptografados devem ser limpos o mais rápido possível.Recomendações
Para as versões 2.7.x a 2.7.17 do Ansible Engine, atualize para a versão 2.7.17 ou posterior.
Para as versões 2.8.x a 2.8.11 do Ansible Engine, atualize para a versão 2.8.11 ou posterior.
Para as versões 2.9.x a 2.9.7 do Ansible Engine, atualize para a versão 2.9.7 ou posterior.
Para as versões 3.4.5 e anteriores do Ansible Tower, atualize para uma versão posterior à 3.4.5.
Para as versões 3.5.5 e anteriores do Ansible Tower, atualize para uma versão posterior à 3.5.5.
Para as versões 3.6.3 e anteriores do Ansible Tower, atualize para uma versão posterior à 3.6.3.
Como solução alternativa temporária, considere limpar o diretório temporário em
/tmp o mais rápido possívelCorreção
Exposure of Resource to Wrong Sphere
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Ansible Engine
Ansible Tower
Astra Linux