CVE-2021-20191· NVD / CVE Program· CNA redhat

A flaw was found in ansible.

A flaw was found in ansible. Credentials, such as secrets, are being disclosed in console log by default and not protected by no_log feature when using those modules. An attacker can take advantage of this information to steal those credentials. The highest threat from this vulnerability is to data confidentiality. Versions before ansible 2.9.18 are affected.

СредняяCVSS 5.5 · v3.1—Эксплойта нет Есть исправление

Утечка информации

Опубликовано: 26 мая 2021 г.
Обновлено: 16 июн. 2026 г.
EPSS: 0,3 % · 26-й процентиль
CWE: CWE-532

Следить за этой CVE

Войдите, чтобы следить · Вы получите уведомление, если запись попадёт в KEV, получит эксплойт или обновится.

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 22 / 40 · 5.5 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,3 %

Затронутые системы

Вендор	Продукт	CPE
oracle	virtualization	cpe:2.3:a:oracle:virtualization
redhat	ansible	cpe:2.3:a:redhat:ansible
redhat	ansible tower	cpe:2.3:a:redhat:ansible_tower
redhat	cisco nx-os collection	cpe:2.3:a:redhat:cisco_nx-os_collection
redhat	community general collection	cpe:2.3:a:redhat:community_general_collection
redhat	community network collection	cpe:2.3:a:redhat:community_network_collection
redhat	docker community collection	cpe:2.3:a:redhat:docker_community_collection
redhat	google cloud platform ansible collection	cpe:2.3:a:redhat:google_cloud_platform_ansible_collection

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

oracle virtualization4.0
redhat ansibleдо 2.8.19
redhat ansible2.9.0 и новее · до 2.9.18
redhat ansible2.10.0 и новее · до 2.10.7
redhat ansible tower3.0
redhat cisco nx-os collectionдо 1.4.0
redhat community general collectionдо 1.3.6
redhat community general collection2.0.0 и новее · до 2.0.1
redhat community network collectionдо 1.3.2
redhat community network collection2.0.0 и новее · до 2.0.1
redhat docker community collectionдо 1.2.2
redhat google cloud platform ansible collection1.0.2

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (redhat). Не зависят от анализа CPE в NVD и обычно опережают его.

n/a ansible
- ansible 2.9.18затронута

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Alpine:v3.10	ansible	с 2.9.0 · до 2.8.19-r0	2.8.19-r0
Alpine:v3.11	ansible	с 2.9.0 · до 2.9.18-r0	2.9.18-r0
Alpine:v3.13	ansible	с 2.9.0 · до 2.10.7-r0	2.10.7-r0
Debian:10	ansible	до 2.7.7+dfsg-1+deb10u2	2.7.7+dfsg-1+deb10u2
Debian:12	ansible	до 2.10.7-1	2.10.7-1
openSUSE:Leap 15.4	wire	до 0.5.0-150000.1.6.1	0.5.0-150000.1.6.1
PyPI	ansible	с 2.10.0 · до 2.10.7	2.10.7
PyPI	ansible	с 2.10.0a1 · до 2.10.7	2.10.7
PyPI	ansible	с 2.9.0 · до 2.9.18	2.9.18
PyPI	ansible	с 2.9.0a1 · до 2.9.18rc1	2.9.18rc1
PyPI	ansible	до 2.8.19rc1	2.8.19rc1
PyPI	ansible	до 2.8.19	2.8.19
Red Hat:ansible_engine:2::el7	ansible	до 0:2.9.18-1.el7ae	0:2.9.18-1.el7ae
Red Hat:ansible_engine:2::el7	ansible-test	до 0:2.9.18-1.el7ae	0:2.9.18-1.el7ae
Red Hat:ansible_engine:2::el8	ansible	до 0:2.9.18-1.el8ae	0:2.9.18-1.el8ae
Red Hat:ansible_engine:2::el8	ansible-test	до 0:2.9.18-1.el8ae	0:2.9.18-1.el8ae
SUSE:HPE Helion OpenStack 8	ansible	до 2.9.22-3.18.1	2.9.22-3.18.1
SUSE:Linux Enterprise High Performance Computing 15-ESPOS	golang-github-prometheus-node_exporter	до 1.3.0-150000.3.15.1	1.3.0-150000.3.15.1
SUSE:Linux Enterprise High Performance Computing 15-ESPOS	golang-github-prometheus-node_exporter	до 1.3.0-150000.3.15.1	1.3.0-150000.3.15.1
SUSE:Manager Client Tools 15	ansible	до 2.9.27-150000.1.14.1	2.9.27-150000.1.14.1
SUSE:Manager Client Tools 15	ansible	до 2.9.27-150000.1.14.1	2.9.27-150000.1.14.1
SUSE:Manager Client Tools 15	dracut-saltboot	до 0.1.1657643023.0d694ce-150000.1.35.1	0.1.1657643023.0d694ce-150000.1.35.1
SUSE:Manager Client Tools 15	dracut-saltboot	до 0.1.1657643023.0d694ce-150000.1.35.1	0.1.1657643023.0d694ce-150000.1.35.1
SUSE:Manager Client Tools 15	golang-github-QubitProducts-exporter_exporter	до 0.4.0-150000.1.15.1	0.4.0-150000.1.15.1

+38

Тот же продукт

oracle: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2013-3779Unspecified vulnerability in the Secure Global Desktop component in Oracle Virtualization All 4.6 releases including 4.63 and 4.7 prior to 4
30Наблюдать
CVE-2011-3538Unspecified vulnerability in the Sun Ray component in Oracle Virtualization 4.0 allows remote attackers to affect integrity, related to Auth
28Наблюдать
CVE-2015-2581Unspecified vulnerability in the Oracle Secure Global Desktop component in Oracle Virtualization 5.1 and 5.2 allows remote attackers to affe
26Наблюдать
CVE-2014-2439Unspecified vulnerability in the Oracle Secure Global Desktop (SGD) component in Oracle Virtualization 5.0 and 5.1 allows remote attackers t
26Наблюдать
CVE-2020-10775An Open redirect vulnerability was found in ovirt-engine versions 4.4 and earlier, where it allows remote attackers to redirect users to arb
22Наблюдать
CVE-2014-2475Unspecified vulnerability in the Oracle Secure Global Desktop component in Oracle Virtualization 4.63, 4.71, 5.0, and 5.1 allows remote atta
21Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
alpine:ansible	2.8.19-r0 · Alpine:v3.10	Реестр пакетов (OSV)
debian:ansible	2.10.7-1 · Debian:12	Реестр пакетов (OSV)
PyPI:ansible	2.10.7	Реестр пакетов (OSV)
PyPI:ansible	2.8.19	Реестр пакетов (OSV)
PyPI:ansible	2.8.19rc1	Реестр пакетов (OSV)
PyPI:ansible	2.9.18	Реестр пакетов (OSV)
PyPI:ansible	2.9.18rc1	Реестр пакетов (OSV)
red hat:ansible	0:2.9.18-1.el7ae · Red Hat:ansible_engine:2::el7	Реестр пакетов (OSV)
red hat:ansible-test	0:2.9.18-1.el7ae · Red Hat:ansible_engine:2::el7	Реестр пакетов (OSV)
suse:ansible	2.9.22-3.18.1 · SUSE:HPE Helion OpenStack 8	Реестр пакетов (OSV)
suse:ansible	2.9.27-150000.1.14.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:dracut-saltboot	0.1.1657643023.0d694ce-150000.1.35.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:golang-github-QubitProducts-exporter_exporter	0.4.0-150000.1.15.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:mgr-daemon	4.3.5-150000.1.35.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:mgr-virtualization	4.3.6-150000.1.32.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:prometheus-blackbox_exporter	0.19.0-150000.1.11.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:python-hwdata	2.3.5-150000.3.9.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:spacecmd	4.3.14-150000.3.83.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:spacewalk-client-tools	4.3.11-150000.3.65.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:uyuni-common-libs	4.3.5-150000.1.24.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:uyuni-proxy-systemd-services	4.3.6-150000.1.6.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)
suse:zypp-plugin-spacewalk	1.0.13-150000.3.32.1 · SUSE:Manager Client Tools 15	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

Ночной расчёт связей ничего не нашёл.

Кандидаты в цепочки

Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.

—

Охват bug bounty

Известной публичной программы нет.

Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).

Технические детали

Условия атаки

Может быть вызвана пользователем с локальным доступом к системе.
Достаточно учётной записи с низкими привилегиями.
Действия пользователя не требуются.
Особые условия не требуются; воспроизводится стабильно.

В случае успеха

Конфиденциальность: высокое · данные могут быть прочитаны
Целостность: нет
Доступность: нет

Вектор атаки: Локальный
Сложность атаки: Низкая
Требуемые привилегии: Низкие
Взаимодействие с пользователем: Не требуется
Область действия: Не изменяется
Влияние на конфиденциальность: Высокое
Влияние на целостность: Нет
Влияние на доступность: Нет

Класс уязвимости (CWE)

CWE-532 · Insertion of Sensitive Information into Log File

Вектор CVSS

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

nvd-primary

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

Шаблоны атак (CAPEC)

Fuzzing for application mappingCAPEC-215вероятность: High · Low

Техники ATT&CK

—

Анализ Noroxi

Анализа Noroxi для этой записи пока нет

Мы не пишем анализ вручную для всех 385 000+ уязвимостей; это было бы нечестно. Для значимых уязвимостей с реальным влиянием наша команда описывает механизм, обнаружение и устранение.

Мы используем этот продукт, нужна помощь

Журнал изменений

Исправление✗ → ✓28 сент. 2026 г., 22:45 UTC

Для отслеживаемых записей эти изменения приходят и как уведомления. →

Источники

Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.

Все записи

Источники данных и проверка

CNA: redhat

CVE.org (CNA)3 авг. 2024 г., 17:30 UTC
NVD16 июн. 2026 г., 23:33 UTC
FIRST EPSS29 сент. 2026 г., 00:00 UTC
OSV / GHSA30 сент. 2026 г., 03:23 UTC

Каждая строка — когда источник в последний раз обрабатывался для этой записи.

Вы видите все CVE. Добавьте свой стек, чтобы оставить только те, что касаются вас.

Добавьте свой стек