CVE-2026-11332
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wada w ansible-core: polecenie ansible-galaxy role install przetwarza specyfikacje zależności z pliku meta/requirements.yml. Z powodu niewłaściwej neutralizacji ograniczników argumentów, złośliwy autor roli może wstrzyknąć dowolne flagi konfiguracyjne gita przez pole src, co umożliwia wykonanie dowolnego kodu na maszynie użytkownika instalującego rolę.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu podczas instalacji roli z nieznanego źródła, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację ansible-core do wersji zawierającej poprawkę oraz unikanie instalowania ról z niezaufanych źródeł.
Inne podatności w ansible-core
Zobacz wszystkie- CVE-2026-16493Wysokie
W ansible-core funkcja _extract_collection_from_git() w concrete_artifact_manager.py konstruuje polecenia git clone bez separatora '--' przed adresami URL dostarczonymi przez użytkownika. Atakujący może dostarczyć złośliwy URI źródła kolekcji zawierający wstrzyknięcie argumentów git, co prowadzi do wykonania dowolnego polecenia podczas instalacji kolekcji.
- CVE-2024-11079Średnie
W Ansible-Core wykryto podatność umożliwiającą ominięcie zabezpieczeń przed niebezpieczną treścią. Atakujący może wykorzystać obiekt hostvars do odwoływania się i wykonywania treści szablonów, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in ansible-core. The ansible-galaxy role install command processes dependency specifications from a role's meta/requirements.yml file. Due to improper neutralization of argument delimiters, a malicious role author can inject arbitrary git configuration flags through the src field. This allows arbitrary code execution on the machine of a user who installs the role via ansible-galaxy role install.