CVE-2020-14365
Açıklama
Ansible Engine'de, dnf modülü kullanılarak paketler yüklenirken; ansible-engine 2.8.15 öncesindeki 2.8.x ve ansible-engine 2.9.13 öncesindeki 2.9.x sürümlerinde bir hata bulundu. disable_gpg_check parametresi varsayılan davranış olan False olarak ayarlanmış olsa bile kurulum sırasında GPG imzaları yoksayılmaktadır. Bu hata, sisteme kötü amaçlı paketlerin yüklenmesine ve paket kurulum betikleri aracılığıyla rastgele kod çalıştırılmasına yol açar. Bu güvenlik açığının oluşturduğu en yüksek tehdit bütünlük ve sistem kullanılabilirliği üzerinedir.
Nasıl düzeltilir
- ansible2.8.15, 2.9.13, 2.8.16rc1, 2.9.14rc1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat ansible_engine | 2.8.0 ≤ v ≤ 2.8.15, 2.9.0 ≤ v ≤ 2.9.13 | — |
| redhat ansible_tower | 3.6.0 ≤ v ≤ 3.6.5, 3.7.0 ≤ v ≤ 3.7.2, 3.0 | — |
| redhat ceph_storage | 2.0, 3.0 | — |
| redhat openstack_platform | 10.0, 13.0 | — |
| debian debian_linux | 10.0 | — |
| ansiblePyPI | 2.8.0a1 ≤ v < 2.8.15, 2.9.0a1 ≤ v < 2.9.13, 2.8.0 ≤ v < 2.8.16rc1, 2.9.0 ≤ v < 2.9.14rc1 | 2.8.15, 2.9.13, 2.8.16rc1, 2.9.14rc1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.