ansible before versions 2.5.14, 2.6.11, 2.7.5 is vulnerable to a information disclosure flaw in vvv+ mode with no_log on that can lead to le

Etkilenen sürümler

NVD sürüm aralıkları (katalogdaki ürünler için). Stack’ine sürümle eklersen eşleşme bunlarla yapılır.

• canonical ubuntu linux16.04
• canonical ubuntu linux18.04
• canonical ubuntu linux19.04
• debian debian linux9.0
• redhat ansible2.5.0 ve sonrası · 2.5.14 öncesi
• redhat ansible2.6.0 ve sonrası · 2.6.11 öncesi
• redhat ansible2.7.0 ve sonrası · 2.7.5 öncesi
• redhat ansible engine2.0
• redhat ansible engine2.5
• redhat ansible engine2.6
• redhat ansible engine2.7
• redhat enterprise linux desktop7.0
• redhat enterprise linux server7.0
• redhat enterprise linux workstation7.0
• redhat openstack14
• suse package hubtüm sürümler

Üreticinin bildirdiği sürümler

Kaydı açan otorite (redhat) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

• Red Hat ansible

  • before 2.5.14, before 2.6.11, before 2.7.5etkilenir

Paket düzeyi etkilenme

OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

• CVE-2014-4678The safe_eval function in Ansible before 1.6.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrar
  41Planlayın
• CVE-2014-4657The safe_eval function in Ansible before 1.5.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrar
  40Planlayın
• CVE-2014-4967Multiple argument injection vulnerabilities in Ansible before 1.6.7 allow remote attackers to execute arbitrary code by leveraging access to
  40Planlayın
• CVE-2014-4966Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substring
  40Planlayın
• CVE-2017-7550A flaw was found in the way Ansible (2.3.x before 2.3.3, and 2.4.x before 2.4.1) passed certain parameters to the jenkins_plugin module.
  40Planlayın
• CVE-2016-8628Ansible before version 2.2.0 fails to properly sanitize fact variables sent from the Ansible controller.
  37İzleyin

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Kök neden

Eklenti işlevi için gerekenden geniş izin istiyor ve topladığı veriyi amacı dışında dışarı gönderiyor.

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

1{2  "permissions": ["tabs", "<all_urls>"],3  "background": { "service_worker": "analytics.js" }4}

1{2  "permissions": ["activeTab"],3  "host_permissions": ["https://yildiz.example/*"]4}

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.