PT-2022-7598 · Ansible+4 · Ansible+5

Bastien-Roucaries · Publicado 2022-10-25 · Atualizado 2025-08-12 · CVE-2022-3697

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

Ansible (versões afetadas não especificadas)

Descrição

Foi encontrada uma falha no Ansible na coleção amazon.aws ao usar o parâmetro tower callback do módulo amazon.aws.ec2 instance. Essa falha permite que um invasor se aproveite do tratamento inseguro do parâmetro, levando ao vazamento da senha nos logs.

Recomendações

Como solução temporária, considere desativar o parâmetro tower callback no módulo amazon.aws.ec2 instance até que uma correção esteja disponível.

Restrinja o acesso ao módulo amazon.aws.ec2 instance para minimizar o risco de exploração.

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

DoS

Enumeração de Fraquezas

CWE-233

Identificadores relacionados

BDU:2024-07358

CVE-2022-3697

DLA-3695-1

DLA-3695-2

GHSA-CPX3-93W7-457X

OESA-2025-1125

ROSA-SA-2024-2334

USN-6846-1

USN-6846-2

USN-6846-3

Produtos afetados

Ansible

Ansible-Core

Astra Linux

Linuxmint

Red Os

Ubuntu

Referências · 35

• https://github.com/ansible/ansible · Nota
• https://github.com/ansible/ansible/pull/35749 · Nota
• https://github.com/ansible-collections/amazon.aws/pull/1199 · Nota
• https://github.com/ansible-collections/amazon.aws/pull/1199/commits/ad4c398125f40b9c41eb26ea4ccbc35a2c45d873 · Nota
• https://github.com/ansible-community/ansible-build-data/blob/main/6/CHANGELOG-v6.rst · Nota
• https://ubuntu.com/security/CVE-2022-3697 · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2022-3697 · Nota de Segurança
• https://osv.dev/vulnerability/DEBIAN-CVE-2022-3697 · Aviso do Fabricante
• https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3695-2 · Aviso do Fabricante
• https://osv.dev/vulnerability/DLA-3695-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2023-5115 · Nota de Segurança
• https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD · Aviso do Fabricante
• https://launchpad.net/bugs/2073569 · Nota
• https://osv.dev/vulnerability/USN-6846-1 · Aviso do Fabricante