CVE-2026-52903

WysokieCVSS 8.8

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.45%

Percentyl 37 - wyżej niż 37% wszystkich znanych CVE

Streszczenie

W ManageIQ wykryto podatność deserializacji niezaufanych danych. Moduł YamlLoadAliases nadpisuje YAML.safe_load, aby w środowisku produkcyjnym po cichu przełączyć się na YAML.unsafe_load, gdy wystąpi błąd Psych::DisallowedClass. Uwierzytelniony atakujący z dostępem do importu dialogów może to wykorzystać do zdalnego wykonania kodu poprzez przesłanie spreparowanego ładunku YAML, który wywołuje fallback i deserializuje dowolne obiekty Ruby. Red Hat CloudForms, oparty na ManageIQ, osiągnął koniec życia i nie jest już wspierany. Nie zostaną wydane żadne erraty ani poprawki. To CVE jest przypisane dla dobra społeczności ManageIQ i konsumentów downstream.

Ocena ryzyka

Uwierzytelniony atakujący może wykonać dowolny kod Ruby na serwerze, co prowadzi do pełnego przejęcia systemu. Brak wsparcia dla Red Hat CloudForms oznacza, że organizacje korzystające z tego produktu nie otrzymają poprawek.

Rekomendacja

Dla ManageIQ zaktualizuj do wersji zawierającej poprawkę, jeśli jest dostępna, lub usuń obejście unsafe_load. Dla Red Hat CloudForms, który osiągnął koniec życia, zaleca się migrację do wspieranego rozwiązania.

Inne podatności w ManageIQ

CVE-2026-22598Wysokie
ManageIQ API przed wersją radjabov-2 zawiera podatność, która pozwala na utworzenie nieprawidłowego obiektu TimeProfile, co powoduje przekroczenie limitu czasu (timeout) w późniejszych żądaniach UI i API, prowadząc do odmowy usługi (DoS).

Oryginalny opis (angielski, źródło NVD)

A deserialization of untrusted data vulnerability was found in ManageIQ. The YamlLoadAliases module overrides YAML.safe_load to silently fall back to YAML.unsafe_load in production when a Psych::DisallowedClass error occurs. An authenticated attacker with dialog import access can exploit this to achieve remote code execution by uploading a crafted YAML payload that triggers the fallback and deserializes arbitrary Ruby objects. Red Hat CloudForms, which was based on ManageIQ, has reached End of Life and is no longer supported. No errata or patches will be issued. This CVE is being assigned for the benefit of the ManageIQ community and downstream consumers.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS