CVE-2026-79717

ŚrednieCVSS 6.4

Opublikowano: 25/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 25/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Podatność na fałszowanie żądań po stronie serwera (SSRF) została znaleziona w galaxy_ng, wtyczce serwera Ansible Galaxy dla Pulp. Uwierzytelniony użytkownik z uprawnieniami do zarządzania przestrzenią nazw może ustawić URL awatara przestrzeni nazw na dowolny adres, w tym sieci wewnętrzne, loopback lub punkty końcowe metadanych instancji chmury. Pracownik w tle pobiera ten URL bez sprawdzania miejsca docelowego, co pozwala atakującemu na sondowanie wewnętrznych usług i enumerację osiągalnych adresów IP. Klient HTTP jest również skonfigurowany bez ogólnego limitu czasu, więc wolny lub nieodpowiadający cel może zablokować pracowników i spowodować odmowę usługi.

Ocena ryzyka

Ryzyko obejmuje możliwość skanowania wewnętrznej sieci, dostęp do metadanych chmury oraz potencjalną odmowę usługi z powodu zablokowanych pracowników, co może prowadzić do naruszenia poufności i dostępności.

Rekomendacja

Zaleca się aktualizację galaxy_ng do wersji zawierającej poprawkę, ograniczenie uprawnień do zarządzania przestrzenią nazw oraz skonfigurowanie limitów czasu dla klienta HTTP.

Inne podatności w galaxy_ng

CVE-2026-12398Wysokie
W galaxy_ng znaleziono podatność na wstrzykiwanie poleceń. Funkcja do_git_checkout() w legacy API importu ról (v1) interpoluje niesanitowane nazwy referencji git (nazwy gałęzi/tagów) do poleceń powłoki wykonywanych przez subprocess.run() z shell=True. Uwierzytelniony użytkownik kontrolujący repozytorium git może utworzyć gałąź lub tag z metaznakami powłoki w nazwie, aby uzyskać zdalne wykonanie kodu na pulpicie roboczym.

Oryginalny opis (angielski, źródło NVD)

A server-side request forgery (SSRF) vulnerability was found in galaxy_ng, the Ansible Galaxy server plugin for Pulp. An authenticated user with namespace management permissions can set a namespace avatar URL to an arbitrary address, including internal networks, loopback, or cloud instance metadata endpoints. A background worker fetches that URL without checking the destination, which lets the attacker probe internal services and enumerate reachable IP addresses. The HTTP client is also configured without an overall timeout, so a slow or non-responsive target can pin workers and cause a denial of service.