CVE-2020-1737
Yüksək
Təsvir
Ansible 2.7.17 və daha əvvəlki, 2.8.9 və daha əvvəlki, həmçinin 2.9.6 və daha əvvəlki versiyalarda, win_unzip modulunun Extract-Zip funksiyasından istifadə zamanı çıxarılan faylların təyinat qovluğuna aid olub-olmadığı yoxlanılmadığı üçün bir çatışmazlıq aşkar edilmişdir. Hücumçu yol keçidi (path traversal) vasitəsilə fayl sisteminin istənilən yerində arxiv yaradaraq bu çatışmazlıqdan istifadə edə bilər. Bu problem 2.10 versiyasında aradan qaldırılmışdır.
CiddilikYüksək
CVSS7.5
İstismar ehtimalı—
Məhsul
Redhat Ansible Engine
Dərc9 mar 2020
İlk görülmə9 mar 2020
Zəiflik növüCWE-22Kataloq keçidi (path traversal)
Necə düzəltmək olar
Yeniləyin
- redhat ansible_engine2.7.17, 2.8.9, 2.9.6 və ya daha yeni versiya
- ansible2.8.9, 2.9.6, 2.7.17 və ya daha yeni versiya
İstehsalçı bildirişləri
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/FWDK3QUVBULS3Q3PQTGEKUQYPSNOU5M3/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/QT27K5ZRGDPCH7GT3DRI3LO4IVDVQUB7/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/U3IMV3XEIUXL6S4KPLYYM4TVJQ2VNEP2/
- security.gentoo.org/glsa/202006-11
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| redhat ansible_engine | v < 2.7.17, 2.8.0 ≤ v < 2.8.9, 2.9.0 ≤ v < 2.9.6 | 2.7.17, 2.8.9, 2.9.6 |
| redhat ansible_tower | v ≤ 3.3.4, 3.4.0 ≤ v ≤ 3.4.5, 3.5.0 ≤ v ≤ 3.5.5, 3.6.0 ≤ v ≤ 3.6.3 | — |
| ansiblePyPI | 2.8.0a1 ≤ v < 2.8.9, 2.9.0a1 ≤ v < 2.9.6, v < 2.7.17, 2.8.0 ≤ v < 2.8.9, 2.9.0 ≤ v < 2.9.6 | 2.8.9, 2.9.6, 2.7.17 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.