CVE-2026-84474
KrytyczneCVSS 9.9Streszczenie
Wada w automation-controller platformy Red Hat Ansible Automation Platform: sekret provisioning-callback (host_config_key) jest ujawniany użytkownikom posiadającym tylko uprawnienie odczytu view_jobtemplate — zarówno w reprezentacji API szablonu zadania, jak i w strumieniu aktywności — a endpoint provisioning callback ufa nagłówkowi X-Forwarded-For dostarczonemu przez klienta do określenia wywołującego hosta, gdy kontroler jest wdrożony za bramą AAP z pustą listą dozwolonych proxy. Poprzez odczytanie sekretu i sfałszowanie X-Forwarded-For, aby pasował do dowolnego hosta w inventory szablonu zadania, minimalnie uprzywilejowany lub nieuwierzytelniony zdalny atakujący może uruchomić szablon zadania przeciwko dowolnym zarządzanym hostom, używając poświadczeń szablonu zadania, co prowadzi do eskalacji uprawnień i zdalnego wykonania kodu na zarządzanych hostach.
Ocena ryzyka
Atakujący może uzyskać dostęp do sekretów i uruchamiać zadania na zarządzanych hostach, co prowadzi do eskalacji uprawnień i zdalnego wykonania kodu.
Rekomendacja
Zaktualizuj Ansible Automation Platform do wersji z poprawką, ogranicz dostęp do sekretów i skonfiguruj listę dozwolonych proxy dla nagłówka X-Forwarded-For.
Inne podatności w Ansible Automation Platform
Zobacz wszystkie- CVE-2026-84719Krytyczne
Wada w automation-controller platformy Ansible Automation Platform: podczas kopiowania WorkflowJobTemplate walidator uprawnień deep-copy sprawdza tylko inventory, unified_job_template i credentials, ale nie sprawdza instance_groups (oraz execution_environment i labels) zachowanych z oryginału. Użytkownik z uprawnieniami workflow-admin w organizacji, ale bez roli na odwołanych instance groups, może skopiować workflow, zostać jego administratorem i uruchamiać zadania przypięte do nieautoryzowanych instance groups, w tym do grupy control-plane, omijając granicę InstanceGroup use_role i powodując uruchomienie automatyzacji w kontekście control-plane.
- CVE-2026-84502Krytyczne
Wada w automation-controller platformy Red Hat Ansible Automation Platform: pole scm_url w Projekcie nie jest walidowane pod kątem wartości zaczynających się od myślnika i jest przechowywane oraz przekazywane dosłownie do modułu git SCM. Ponieważ moduł uruchamia git ls-remote z URL jako argumentem pozycyjnym i bez separatora "--", URL projektu git taki jak "--upload-pack=<command>:x" jest interpretowany przez git jako opcja --upload-pack i wykonywany przez powłokę. Użytkownik z uprawnieniami do tworzenia lub modyfikacji projektu w jednej organizacji może wykonać dowolne polecenia na podzie control-plane, a dane wyjściowe są odzwierciedlane przez endpoint stdout aktualizacji projektu, co prowadzi do kompromitacji między dzierżawcami i ruchu bocznego w klastrze.
- CVE-2026-84470Średnie
W Ansible Automation Platform (AWX) w API Bulk Job Launch (POST /api/v2/bulk/job_launch/) sprawdzane są tylko uprawnienia do odczytu dla instance_groups, podczas gdy standardowa ścieżka uruchamiania pojedynczego zadania wymaga uprawnień na poziomie 'use'. Osoba z uprawnieniami tylko do odczytu (np. rola System Auditor) oraz z uprawnieniami do wykonywania na szablonie zadania może uruchamiać zadania zbiorcze na grupach instancji, do których nie ma autoryzacji, omijając izolację rozmieszczenia.
- CVE-2025-57847Średnie
W obrazach Ansible Automation Platform stwierdzono podatność na eskalację uprawnień w kontenerze. Plik /etc/passwd został utworzony z uprawnieniami zapisu dla grupy podczas budowania obrazu. Atakujący, który może wykonywać polecenia w kontenerze (nawet jako nie-root), może wykorzystać członkostwo w grupie root do modyfikacji /etc/passwd i dodać użytkownika z dowolnym UID, w tym 0, uzyskując pełne uprawnienia root w kontenerze.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Red Hat Ansible Automation Platform's automation- controller. The provisioning-callback secret (host_config_key) is exposed to users holding only the read-level view_jobtemplate permission -- both in the job template API representation and in the activity stream -- and the provisioning callback endpoint trusts a client-supplied X-Forwarded-For header to determine the calling host when the controller is deployed behind the AAP gateway with an empty proxy allow-list. By reading the secret and spoofing X-Forwarded-For to match any host in the job template's inventory, a minimally privileged or unauthenticated remote attacker can launch the job template against arbitrary managed hosts using the job template's credentials, resulting in privilege escalation and remote code execution on managed hosts.