CVE-2026-16493
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
W ansible-core funkcja _extract_collection_from_git() w concrete_artifact_manager.py konstruuje polecenia git clone bez separatora '--' przed adresami URL dostarczonymi przez użytkownika. Atakujący może dostarczyć złośliwy URI źródła kolekcji zawierający wstrzyknięcie argumentów git, co prowadzi do wykonania dowolnego polecenia podczas instalacji kolekcji.
Ocena ryzyka
Wykonanie dowolnego polecenia na hoście użytkownika może prowadzić do pełnej kompromitacji systemu, w tym kradzieży danych i instalacji złośliwego oprogramowania.
Rekomendacja
Należy zaktualizować ansible-core do wersji zawierającej poprawkę dla CVE-2026-16493 i unikać instalowania kolekcji z niezaufanych źródeł.
Inne podatności w ansible-core
Zobacz wszystkie- CVE-2026-89091Wysokie
W ansible-core wykryto lukę. Podczas instalacji kolekcji za pomocą `ansible-galaxy collection install` ekstraktor archiwum waliduje ścieżki elementów za pomocą normalizacji leksykalnej (os.path.abspath) zamiast rozwiązywania dowiązań symbolicznych (os.path.realpath) i nie wykonuje sprawdzenia zawierania dla elementów katalogowych typu symlink przed ich utworzeniem. Spreparowany tarball kolekcji może łańcuchowo łączyć wpisy katalogów symlinków, tak że kolejny element pliku zostanie zapisany poza zamierzonym katalogiem docelowym.
- CVE-2026-71465Niskie
Funkcja RunAdHocCommand.build_args() dołącza parametr limit jako pozycyjny argument (args.append(limit)) zamiast używać args.extend(['-l', limit]) jak w RunJob. Limit rozpoczynający się od myślnika jest interpretowany jako opcja CLI ansible. Obecnie ograniczone do flag krótkiego spięcia (--version, --help), ponieważ wstrzyknięty element wypiera wymagany argument wzorca. Eskalowałoby, gdyby ansible-core kiedykolwiek ustawiło wzorzec jako domyślny.
- CVE-2026-11332Wysokie
Wada w ansible-core: polecenie ansible-galaxy role install przetwarza specyfikacje zależności z pliku meta/requirements.yml. Z powodu niewłaściwej neutralizacji ograniczników argumentów, złośliwy autor roli może wstrzyknąć dowolne flagi konfiguracyjne gita przez pole src, co umożliwia wykonanie dowolnego kodu na maszynie użytkownika instalującego rolę.
- CVE-2024-11079Średnie
W Ansible-Core wykryto podatność umożliwiającą ominięcie zabezpieczeń przed niebezpieczną treścią. Atakujący może wykorzystać obiekt hostvars do odwoływania się i wykonywania treści szablonów, co prowadzi do zdalnego wykonania kodu.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in ansible-core. The _extract_collection_from_git() function in ansible-core's concrete_artifact_manager.py constructs git clone commands without a '--' (end-of-options) separator before user-supplied URLs when installing collections from git sources. An attacker who provides a crafted collection source URI containing git argument injection payloads can achieve arbitrary command execution when a user runs 'ansible-galaxy collection install' with the malicious source. This is an incomplete fix for CVE-2026-11332, which hardened the role install path but missed the equivalent collection install code path.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS