CVE-2026-87874

WysokieCVSS 8.1

Opublikowano: 09/09/2026(UTC)Zaktualizowano: 09/09/2026(UTC)Przetłumaczono: 09/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.43%

Percentyl 36 - wyżej niż 36% wszystkich znanych CVE

Streszczenie

Wtyczka cache memcached w kolekcji community.general Ansible nie wykonuje jawnej serializacji, polegając na python-memcached, który używa pickle do zapisu i odczytu. Ponieważ memcached jest nieuwierzytelniony, a klucze cache są przewidywalne, atakujący mogą zapisać spreparowany ładunek pickle, który zostanie zdeserializowany i wykonany na kontrolerze Ansible podczas odczytu zatrutego cache, prowadząc do zdalnego wykonania kodu.

Ocena ryzyka

Ryzyko obejmuje zdalne wykonanie kodu na kontrolerze Ansible, co może prowadzić do pełnej kompromitacji infrastruktury zarządzanej przez Ansible.

Rekomendacja

Zaleca się zabezpieczenie instancji memcached (np. przez uwierzytelnienie i ograniczenie dostępu sieciowego) oraz aktualizację kolekcji community.general do wersji z poprawką.

Inne podatności w community.general Ansible collection

CVE-2026-87872Średnie
W modułach OCAPI (ocapi_command, ocapi_info) kolekcji Ansible community.general wykryto wadę. Wspólny pomocnik żądań OCAPI wyłącza walidację certyfikatów TLS dla każdego żądania, a moduły nie udostępniają parametru umożliwiającego jej ponowne włączenie, wysyłając jednocześnie poświadczenia HTTP Basic-Auth do punktu końcowego https. Atakujący znajdujący się na ścieżce sieciowej między kontrolerem Ansible a urządzeniem magazynującym/enclosure zarządzanym przez OCAPI może przedstawić dowolny certyfikat, przechwycić sesję, przechwycić poświadczenia i manipulować odpowiedziami.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the memcached cache plugin of the community.general Ansible collection. Although its documentation states that records are stored in JSON format, the plugin performs no explicit serialization and relies on python-memcached, which pickles values on write and unpickles them on read. Because memcached is unauthenticated and cache keys are predictable, an attacker able to reach a network-exposed or shared memcached instance can write a crafted pickle payload that is deserialized and executed on the Ansible controller when the poisoned fact cache is next read, leading to remote code execution.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS