CVE-2020-10684
Təsvir
Ansible Engine-in müvafiq olaraq 2.7.17, 2.8.9 və 2.9.6 versiyalarından əvvəlki bütün 2.7.x, 2.8.x və 2.9.x versiyalarında çatışmazlıq aşkar edilmişdir. Bu problem, `inject` aktiv olduqda `ansible_facts`-in özünün alt açarı kimi istifadə edilməsi və dəyişənə çevrilməsi zamanı təmizləmədən sonra `ansible_facts`-in üzərinə yazılması ilə bağlıdır. Hücumçu `ansible_hosts`, istifadəçilər və digər hər hansı vacib məlumatlar kimi `ansible_facts`-i dəyişdirərək bundan yararlana bilər ki, bu da imtiyazların yüksəldilməsinə və ya kod inyeksiyasına səbəb ola bilər.
Necə düzəltmək olar
- redhat ansible2.7.17, 2.8.9, 2.9.6 və ya daha yeni versiya
- ansible2.7.17, 2.8.11, 2.9.7, 2.8.9, 2.9.6 və ya daha yeni versiya
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WQVOQD4VAIXXTVQAJKTN7NUGTJFE2PCB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DKPA4KC3OJSUFASUYMG66HKJE7ADNGFW/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MRRYUU5ZBLPBXCYG6CFP35D64NP2UB2S/
- security.gentoo.org/glsa/202006-11
- debian.org/security/2021/dsa-4950
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat ansible | 2.7.0 ≤ v < 2.7.17, 2.8.0 ≤ v < 2.8.9, 2.9.0 ≤ v < 2.9.6 | 2.7.17, 2.8.9, 2.9.6 |
| redhat ansible_tower | v ≤ 3.3.5, 3.5.0 ≤ v ≤ 3.5.5, 3.6.0 ≤ v ≤ 3.6.3 | — |
| redhat openstack | 10, 13 | — |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 30, 31, 32 | — |
| ansiblePyPI | 2.7.0a1 ≤ v < 2.7.17, 2.8.0a1 ≤ v < 2.8.11, 2.9.0a1 ≤ v < 2.9.7, 2.7.0 ≤ v < 2.7.17, 2.8.0 ≤ v < 2.8.9, 2.9.0 ≤ v < 2.9.6 | 2.7.17, 2.8.11, 2.9.7, 2.8.9, 2.9.6 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.