CVE-2026-87872

ŚrednieCVSS 6.8

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 14/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.09%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

W modułach OCAPI (ocapi_command, ocapi_info) kolekcji Ansible community.general wykryto wadę. Wspólny pomocnik żądań OCAPI wyłącza walidację certyfikatów TLS dla każdego żądania, a moduły nie udostępniają parametru umożliwiającego jej ponowne włączenie, wysyłając jednocześnie poświadczenia HTTP Basic-Auth do punktu końcowego https. Atakujący znajdujący się na ścieżce sieciowej między kontrolerem Ansible a urządzeniem magazynującym/enclosure zarządzanym przez OCAPI może przedstawić dowolny certyfikat, przechwycić sesję, przechwycić poświadczenia i manipulować odpowiedziami.

Ocena ryzyka

Atakujący może przechwycić poświadczenia administracyjne i manipulować komunikacją z urządzeniami zarządzanymi, co może prowadzić do nieautoryzowanego dostępu i naruszenia integralności danych.

Rekomendacja

Należy zaktualizować kolekcję community.general do wersji, która umożliwia włączenie walidacji certyfikatów TLS, oraz rozważyć użycie bezpiecznych kanałów komunikacji.

Inne podatności w community.general Ansible collection

CVE-2026-87874Wysokie
Wtyczka cache memcached w kolekcji community.general Ansible nie wykonuje jawnej serializacji, polegając na python-memcached, który używa pickle do zapisu i odczytu. Ponieważ memcached jest nieuwierzytelniony, a klucze cache są przewidywalne, atakujący mogą zapisać spreparowany ładunek pickle, który zostanie zdeserializowany i wykonany na kontrolerze Ansible podczas odczytu zatrutego cache, prowadząc do zdalnego wykonania kodu.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the OCAPI modules (ocapi_command, ocapi_info) of the community.general Ansible collection. The shared OCAPI request helper disables TLS certificate validation on every request and the modules expose no parameter to re-enable it, while sending HTTP Basic-Auth credentials to an https endpoint. An attacker positioned on the network path between the Ansible controller and the OCAPI-managed storage/enclosure device can present any certificate, intercept the session, capture the credentials, and tamper with responses.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS