CVE-2026-84486
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
W Red Hat Ansible Automation Platform (automation-controller) cztery widoki debugowe wyzwalające wewnętrzne schedulery zadań, zależności i workflow są dostępne dla dowolnego użytkownika, w tym niezalogowanego, ponieważ ich routing nie jest ograniczony ustawieniem debug. Nieuwierzytelniony zdalny atakujący może wielokrotnie wywoływać te endpointy, przejmując ogólnoklastrową blokadę schedulera, co powoduje pomijanie rzeczywistych uruchomień i wstrzymanie dyspozycji zadań dla wszystkich tenantów oraz zużycie workerów webowych.
Ocena ryzyka
Atakujący bez uwierzytelnienia może zablokować przetwarzanie zadań w całym klastrze Ansible Automation Platform, powodując przestój automatyzacji dla wszystkich organizacji korzystających z platformy. Dodatkowo widok debugowy ujawnia listę endpointów debugowych nieuwierzytelnionym klientom.
Rekomendacja
Zaktualizuj Red Hat Ansible Automation Platform do wersji zawierającej poprawkę i w miarę możliwości ogranicz dostęp sieciowy do endpointów debugowych oraz monitoruj nietypowe wywołania tych ścieżek.
Inne podatności w Red Hat Ansible Automation Platform
Zobacz wszystkie- CVE-2026-104710Nieznane
Ten numer CVE został odrzucony, ponieważ jest duplikatem CVE-2026-71364, który został publicznie ujawniony i naprawiony w Red Hat Ansible Automation Platform 2026-08-24. Nie jest wymagany osobny identyfikator.
- CVE-2026-84499Wysokie
W Red Hat Ansible Automation Platform (automation-controller) znaleziono błąd. Pytania ankiety typu hasło są tylko do zapisu i przechowywane w formie zaszyfrowanej, wyświetlane jako placeholder przy odczycie. Gdy harmonogram lub węzeł szablonu zadania jest ponownie walidowany względem zaostrzonej specyfikacji ankiety, kontroler deszyfruje zapisane hasło i umieszcza jego jawną wartość w komunikacie błędu walidacji długości minimalnej/maksymalnej zwracanym w odpowiedzi HTTP. Użytkownik z delegowaną rolą JobTemplate Admin może zaostrzyć ograniczenie długości ankiety i wywołać ponowną walidację harmonogramu lub węzła utworzonego przez innego użytkownika z wyższymi uprawnieniami, odzyskując w ten sposób jawne hasło tego użytkownika.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Red Hat Ansible Automation Platform's automation- controller. Four debug views that trigger the internal task, dependency, and workflow schedulers are configured to allow any user (including unauthenticated clients) and are routed in production builds because their URL include is not gated on the debug setting. An unauthenticated remote attacker can repeatedly invoke these endpoints to acquire the cluster-wide scheduler advisory lock; because the legitimate scheduler acquires the same lock without waiting, the attacker causes real scheduler runs to be skipped, stalling job dispatch for all tenants, while also consuming controller web workers. The debug root view additionally discloses the list of debug endpoints to unauthenticated callers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS