CVE-2026-80158

ŚrednieCVSS 5.5

Opublikowano: 26/08/2026(UTC)Zaktualizowano: 28/08/2026(UTC)Przetłumaczono: 27/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

W module ipa_getkeytab z kolekcji community.general Ansible znaleziono błąd: parametr bind_pw, używany do podania hasła LDAP przy pobieraniu keytaba Kerberos, nie jest zadeklarowany jako no_log, w przeciwieństwie do podobnego parametru password w tym samym module. W rezultacie podane hasło bind jest zapisywane w postaci jawnej w dzienniku systemowym/syslogu hosta zarządzanego, jest zawarte w wartościach zwracanych przez moduł i w verbose (-v), oraz jest wyświetlane w Automation Controller / AWX job output. Hasło jest również przekazywane w linii poleceń do narzędzia ipa-getkeytab (jako --bindpw <wartość>), co ujawnia je w liście procesów lokalnym użytkownikom podczas działania. Atakujący, który może czytać te logi, dane wyjściowe zadań lub tablicę procesów, może uzyskać poświadczenia bind do katalogu, potencjalnie kompromitując konta i obiekty, do których te poświadczenia mają dostęp.

Ocena ryzyka

Ryzyko obejmuje ujawnienie haseł bind LDAP, co może prowadzić do nieautoryzowanego dostępu do kont i danych w katalogu.

Rekomendacja

Zaleca się aktualizację kolekcji community.general do wersji zawierającej poprawkę oraz unikanie używania modułu ipa_getkeytab z jawnym hasłem w logach; rozważ użycie bezpieczniejszych metod uwierzytelniania.

Inne podatności w community.general

CVE-2026-11820Średnie
W kolekcji Ansible community.general w module nexmo stwierdzono podatność polegającą na przesyłaniu danych uwierzytelniających API (api_key i api_secret) w parametrach zapytania URL metodą GET. Powoduje to ujawnienie tych danych w logach serwera WWW, logach proxy, nagłówkach HTTP Referer oraz narzędziach monitorujących sieć, mimo że parametry te są oznaczone jako no_log w specyfikacji argumentów Ansible.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the ipa_getkeytab module of the community.general Ansible collection. The module's bind_pw parameter, used to supply the LDAP simple-bind password when retrieving a Kerberos keytab, is not declared with no_log, unlike the sibling password parameter in the same module. As a consequence, the supplied IPA/LDAP bind password is recorded in cleartext in the managed host's system journal/syslog (the module's "Invoked with" record), is included in the module's return values and verbose (-v) output, and is displayed in Automation Controller / AWX job output. The password is additionally passed on the command line to the ipa-getkeytab helper (as --bindpw <value>), exposing it in the process list to local users while the command runs. An attacker able to read these logs, job output, or the process table can obtain the directory bind credential, potentially compromising the accounts and objects that credential can access.