CVE-2024-8775
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
W Ansible wykryto wadę, która może ujawnić poufne informacje przechowywane w plikach Ansible Vault w postaci jawnej podczas wykonania playbooka. Dzieje się tak przy użyciu zadań takich jak include_vars bez ustawienia parametru no_log: true, co powoduje wydrukowanie poufnych danych w wynikach lub logach.
Ocena ryzyka
Ryzyko ujawnienia haseł, kluczy API i innych sekretów, co może prowadzić do nieautoryzowanego dostępu do systemów.
Rekomendacja
Upewnij się, że przy ładowaniu zmiennych z Vault ustawiasz no_log: true, a także przeglądaj swoje playbooki pod kątem potencjalnych wycieków.
Inne podatności w Ansible
Zobacz wszystkie- CVE-2014-3498Wysokie
Moduł użytkownika w Ansible przed wersją 1.6.6 pozwala zdalnie uwierzytelnionym użytkownikom na wykonywanie dowolnych poleceń.
- CVE-2015-6240Wysokie
Wtyczki chroot, jail i zone w Ansible przed wersją 1.9.2 umożliwiają lokalnym użytkownikom ucieczkę z ograniczonego środowiska za pomocą ataku symlink.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Ansible, where sensitive information stored in Ansible Vault files can be exposed in plaintext during the execution of a playbook. This occurs when using tasks such as include_vars to load vaulted variables without setting the no_log: true parameter, resulting in sensitive data being printed in the playbook output or logs. This can lead to the unintentional disclosure of secrets like passwords or API keys, compromising security and potentially allowing unauthorized access or actions.