PT-2024-39241 · Ansible+2 · Ansible+2
Klaas-Analyst
·
Publicado
2024-09-13
·
Atualizado
2026-06-03
·
CVE-2024-8775
CVSS v4.0
7.1
Alta
| Vetor | AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N |
Nome do software vulnerável e versões afetadas:
Ansible (versões afetadas não especificadas)
Descrição:
Foi identificada uma falha no Ansible em que informações confidenciais armazenadas nos arquivos do Ansible Vault podem ser expostas em texto simples durante a execução de um playbook. Isso ocorre ao usar tarefas como
include vars para carregar variáveis armazenadas no Vault sem definir o parâmetro no log: true, resultando na exibição de dados confidenciais na saída do playbook ou nos logs. Isso pode levar à divulgação não intencional de segredos, como senhas ou chaves de API, comprometendo a segurança e potencialmente permitindo acesso ou ações não autorizadas.Recomendações:
Como solução temporária, considere definir o parâmetro
no log: true ao usar tarefas como include vars para carregar variáveis armazenadas no vault até que um patch esteja disponível.Restrinja o acesso à saída do playbook e aos logs para minimizar o risco de exploração.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
DoS
Insertion into Log File
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Ansible
Astra Linux
Red Os