Ansible-core: possible information leak in tasks that ignore ansible_no_log configuration

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• fedoraproject fedora38
• fedoraproject fedora39
• redhat ansible2.16.0 и новее · до 2.16.3
• redhat ansibleдо 2.14.4
• redhat ansible2.15.0 и новее · до 2.15.9
• redhat ansible automation platform2.4
• redhat ansible developer1.1
• redhat ansible inside1.2
• redhat enterprise linux8.0
• redhat enterprise linux9.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (redhat). Не зависят от анализа CPE в NVD и обычно опережают его.

• Red Hat Red Hat Ansible Automation Platform 2.4 for RHEL 8

  • 1:2.15.9-1.el8ap и новеене затронута · rpm

• Red Hat Red Hat Ansible Automation Platform 2.4 for RHEL 9

  • 1:2.15.9-1.el9ap и новеене затронута · rpm

• Red Hat Red Hat Enterprise Linux 8

  • 0:2.16.3-2.el8 и новеене затронута · rpm

• Red Hat Red Hat Enterprise Linux 9

  • 1:2.14.14-1.el9 и новеене затронута · rpm

• www.ansible.com/ ansible

  • 2.14.0 и новее · до 2.14.4затронута · semver
  • 2.15.0 и новее · до 2.15.9затронута · semver
  • 2.16.0 и новее · до 2.16.3затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2014-4678The safe_eval function in Ansible before 1.6.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrar
  41В плане
• CVE-2014-4657The safe_eval function in Ansible before 1.5.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrar
  40В плане
• CVE-2014-4967Multiple argument injection vulnerabilities in Ansible before 1.6.7 allow remote attackers to execute arbitrary code by leveraging access to
  40В плане
• CVE-2014-4966Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substring
  40В плане
• CVE-2017-7550A flaw was found in the way Ansible (2.3.x before 2.3.3, and 2.4.x before 2.4.1) passed certain parameters to the jenkins_plugin module.
  40В плане
• CVE-2016-8628Ansible before version 2.2.0 fails to properly sanitize fact variables sent from the Ansible controller.
  37Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.