CVE-2026-84683
Təsvir
Red Hat Ansible Automation Platform-un automation-controller komponentində çatışmazlıq aşkar edilmişdir. Job, ad hoc əmr, layihə yeniləməsi və inventar yeniləməsinin standart çıxışının HTML görünüşü HTML meta simvollarını filtrləsə də, HTML-ə çevrilməzdən əvvəl ANSI terminal qaçış ardıcıllıqlarını silmir. Çıxışdakı ANSI OSC 8 hiperlink ardıcıllığı, href hissəsi sxem üzrə filtrlənməmiş və ya təmizlənməmiş HTML anchor elementinə genişləndirilir. Beləliklə, çıxış istehsal edə bilən aşağı imtiyazlı istifadəçi və ya məlumatları playbook tərəfindən əks etdirilən kənar tərəf, Content-Security-Policy olmayan text/html cavabına daxil edilən javascript: linki yerləşdirə bilər. Daha yüksək imtiyazlı istifadəçi çıxış səhifəsinə baxdıqda və linkə kliklədikdə, hücumçu tərəfindən idarə olunan JavaScript onların autentifikasiya olunmuş sessiyasında icra edilir ki, bu da həmin istifadəci adından hərəkətlərin edilməsinə və nəticədə platformanın tam ələ keçirilməsinə şərait yaradır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| ansible_automation_platform 2.5 | Aralıq göstərilməyib | — |
| ansible_automation_platform 2.6 | Aralıq göstərilməyib | — |
| ansible_automation_platform 2.7 | Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.