CVE-2026-84502
KrytyczneCVSS 9.9Streszczenie
Wada w automation-controller platformy Red Hat Ansible Automation Platform: pole scm_url w Projekcie nie jest walidowane pod kątem wartości zaczynających się od myślnika i jest przechowywane oraz przekazywane dosłownie do modułu git SCM. Ponieważ moduł uruchamia git ls-remote z URL jako argumentem pozycyjnym i bez separatora "--", URL projektu git taki jak "--upload-pack=<command>:x" jest interpretowany przez git jako opcja --upload-pack i wykonywany przez powłokę. Użytkownik z uprawnieniami do tworzenia lub modyfikacji projektu w jednej organizacji może wykonać dowolne polecenia na podzie control-plane, a dane wyjściowe są odzwierciedlane przez endpoint stdout aktualizacji projektu, co prowadzi do kompromitacji między dzierżawcami i ruchu bocznego w klastrze.
Ocena ryzyka
Użytkownik z ograniczonymi uprawnieniami może wykonać dowolne polecenia w klastrze, co może prowadzić do eskalacji uprawnień i naruszenia izolacji między dzierżawcami.
Rekomendacja
Zaktualizuj Ansible Automation Platform do wersji z poprawką i ogranicz uprawnienia do tworzenia i modyfikacji projektów.
Inne podatności w Ansible Automation Platform
Zobacz wszystkie- CVE-2026-84719Krytyczne
Wada w automation-controller platformy Ansible Automation Platform: podczas kopiowania WorkflowJobTemplate walidator uprawnień deep-copy sprawdza tylko inventory, unified_job_template i credentials, ale nie sprawdza instance_groups (oraz execution_environment i labels) zachowanych z oryginału. Użytkownik z uprawnieniami workflow-admin w organizacji, ale bez roli na odwołanych instance groups, może skopiować workflow, zostać jego administratorem i uruchamiać zadania przypięte do nieautoryzowanych instance groups, w tym do grupy control-plane, omijając granicę InstanceGroup use_role i powodując uruchomienie automatyzacji w kontekście control-plane.
- CVE-2026-84474Krytyczne
Wada w automation-controller platformy Red Hat Ansible Automation Platform: sekret provisioning-callback (host_config_key) jest ujawniany użytkownikom posiadającym tylko uprawnienie odczytu view_jobtemplate — zarówno w reprezentacji API szablonu zadania, jak i w strumieniu aktywności — a endpoint provisioning callback ufa nagłówkowi X-Forwarded-For dostarczonemu przez klienta do określenia wywołującego hosta, gdy kontroler jest wdrożony za bramą AAP z pustą listą dozwolonych proxy. Poprzez odczytanie sekretu i sfałszowanie X-Forwarded-For, aby pasował do dowolnego hosta w inventory szablonu zadania, minimalnie uprzywilejowany lub nieuwierzytelniony zdalny atakujący może uruchomić szablon zadania przeciwko dowolnym zarządzanym hostom, używając poświadczeń szablonu zadania, co prowadzi do eskalacji uprawnień i zdalnego wykonania kodu na zarządzanych hostach.
- CVE-2026-84470Średnie
W Ansible Automation Platform (AWX) w API Bulk Job Launch (POST /api/v2/bulk/job_launch/) sprawdzane są tylko uprawnienia do odczytu dla instance_groups, podczas gdy standardowa ścieżka uruchamiania pojedynczego zadania wymaga uprawnień na poziomie 'use'. Osoba z uprawnieniami tylko do odczytu (np. rola System Auditor) oraz z uprawnieniami do wykonywania na szablonie zadania może uruchamiać zadania zbiorcze na grupach instancji, do których nie ma autoryzacji, omijając izolację rozmieszczenia.
- CVE-2025-57847Średnie
W obrazach Ansible Automation Platform stwierdzono podatność na eskalację uprawnień w kontenerze. Plik /etc/passwd został utworzony z uprawnieniami zapisu dla grupy podczas budowania obrazu. Atakujący, który może wykonywać polecenia w kontenerze (nawet jako nie-root), może wykorzystać członkostwo w grupie root do modyfikacji /etc/passwd i dodać użytkownika z dowolnym UID, w tym 0, uzyskując pełne uprawnienia root w kontenerze.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in Red Hat Ansible Automation Platform's automation- controller. The Project scm_url field is not validated against values that begin with a dash and is stored and passed verbatim to the git SCM module. Because the module runs git ls-remote with the URL as a positional argument and without a "--" separator, a git project URL such as "--upload-pack=<command>:x" is interpreted by git as the --upload-pack option and executed via a shell. A user with permission to create or modify a project in a single organization can thereby execute arbitrary commands on the control-plane task pod, with output reflected through the project update stdout endpoint, leading to cross-tenant compromise and in-cluster lateral movement