CVE-2020-1733
Açıklama
Ansible Engine 2.7.17 ve öncesi, 2.8.9 ve öncesi, 2.9.6 ve öncesi sürümlerde, ayrıcalıksız bir become kullanıcısı ile playbook çalıştırıldığında bir yarış durumu (race condition) kusuru bulundu. Ansible'ın bir modülü become kullanıcısı ile çalıştırması gerektiğinde, geçici dizin /var/tmp altında oluşturulur. Bu dizin "umask 77 && mkdir -p <dir>" komutuyla oluşturulur; eğer dizin zaten mevcutsa ve başka bir kullanıcıya aitse bu işlem başarısız olmaz. Bir saldırgan, hedef dizini '/proc/<pid>/cmdline' üzerinden yineleyerek elde edebileceği için’ become kullanıcısının kontrolünü ele geçirmek amacıyla bundan yararlanabilir.
Nasıl düzeltilir
- redhat ansible2.8.8 ya da sonraki bir sürüm
- ansible2.7.17, 2.8.11, 2.9.7, 2.8.8, 2.9.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WQVOQD4VAIXXTVQAJKTN7NUGTJFE2PCB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DKPA4KC3OJSUFASUYMG66HKJE7ADNGFW/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MRRYUU5ZBLPBXCYG6CFP35D64NP2UB2S/
- security.gentoo.org/glsa/202006-11
- debian.org/security/2021/dsa-4950
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat ansible | v ≤ 2.7.16, 2.8.0 ≤ v < 2.8.8, 2.9.0 ≤ v ≤ 2.9.5 | 2.8.8 |
| redhat ansible_tower | v ≤ 3.3.4, 3.3.5 ≤ v ≤ 3.4.5, 3.5.0 ≤ v ≤ 3.5.5, 3.6.0 ≤ v ≤ 3.6.3 | — |
| redhat cloudforms_management_engine | 5.0 | — |
| redhat openstack | 13 | — |
| fedoraproject fedora | 30, 31, 32 | — |
| debian debian_linux | 8.0, 10.0 | — |
| ansiblePyPI | v < 2.7.17, 2.8.0a1 ≤ v < 2.8.11, 2.9.0a1 ≤ v < 2.9.7, 2.8.0 ≤ v < 2.8.8, 2.9.0 ≤ v < 2.9.6 | 2.7.17, 2.8.11, 2.9.7, 2.8.8, 2.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.