PT-2020-6582 · Unknown+3 · Ansible Engine+3
Samdoran
·
Publicado
2020-03-16
·
Atualizado
2026-06-03
·
CVE-2020-1740
CVSS v4.0
5.7
Média
| Vetor | AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas
Ansible Engine, versões 2.7.x a 2.9.x
Descrição
Foi identificada uma falha no Ansible Engine ao utilizar o Ansible Vault para editar arquivos criptografados. Quando um usuário executa o comando “ansible-vault edit”, outro usuário no mesmo computador pode ler o segredo antigo e o novo, pois ele é criado em um arquivo temporário com o comando mkstemp, o descritor de arquivo retornado é fechado e o método
write data é chamado para gravar o segredo existente no arquivo. Esse método exclui o arquivo antes de recriá-lo de forma insegura.Recomendações
Para as versões 2.7.x, 2.8.x e 2.9.x, considere desativar o método
write data até que um patch esteja disponível para impedir a recriação insegura do arquivo.Restrinja o acesso aos arquivos temporários criados pelo Ansible Vault para minimizar o risco de exploração.
Evite usar o comando
ansible-vault edit até que o problema seja resolvido.No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Information Disclosure
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Alt Linux
Ansible-Core
Ansible Engine
Astra Linux