PT-2022-11235 · Unknown · Ansible-Runner

Vipul Nair · Publicado 2022-08-24 · Atualizado 2022-08-29 · CVE-2021-4041

Positive Technologies (AI Summary) · Pt

CVSS v4.0

8.5

Alta

Vetor base

AV:L/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do software vulnerável e versões afetadas

ansible-runner (versões afetadas não especificadas)

Descrição

Foi identificada uma falha no ansible-runner, na qual um escapamento inadequado do comando do shell, ao chamar o método ansible runner.interface.run command, pode fazer com que os parâmetros sejam executados como um comando do shell do host. Isso poderia permitir que um desenvolvedor escrevesse, sem intenção, código que fosse executado no host em vez de no ambiente virtual.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Improper Encoding or Escaping of Output

RCE

Enumeração de Fraquezas

CWE-116

CWE-20

Identificadores relacionados

CVE-2021-4041

GHSA-6J58-GRHV-2769

PYSEC-2022-253

RHSA-2022:0108

Produtos afetados

Ansible-Runner

Referências · 16

• https://github.com/ansible/ansible-runner/commit/3533f265f4349a3f2a0283158cd01b59a6bbc7bd · Correção
• https://github.com/ansible/ansible-runner · Nota
• https://github.com/pypa/advisory-database/tree/main/vulns/ansible-runner/PYSEC-2022-253.yaml · Nota
• https://access.redhat.com/security/cve/CVE-2021-4041 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2021-4041 · Nota de Segurança
• https://t.me/cvenotify/35082 · Publicação no Telegram
• https://osv.dev/vulnerability/GHSA-6j58-grhv-2769 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-4041 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-4041 · Aviso do Fabricante
• https://bugzilla.redhat.com/show_bug.cgi?id=2028074 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-4041 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-4041 · Nota de Segurança
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-4041 · Aviso do Fabricante
• https://osv.dev/vulnerability/PYSEC-2022-253 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-4041 · Aviso do Fabricante