CVE-2020-1740
Açıklama
Ansible Engine'da, şifrelenmiş dosyaları düzenlemek için Ansible Vault kullanılırken bir açık tespit edilmiştir. Bir kullanıcı "ansible-vault edit" komutunu çalıştırdığında, aynı bilgisayardaki başka bir kullanıcı eski ve yeni gizli bilgileri okuyabilir; çünkü bu bilgiler mkstemp ile geçici bir dosyada oluşturulur, döndürülen dosya tanımlayıcısı kapatılır ve mevcut gizli bilgiyi dosyaya yazmak için write_data yöntemi çağrılır. Bu yöntem, dosyayı güvensiz bir şekilde yeniden oluşturmadan önce siler. 2.7.x, 2.8.x ve 2.9.x dallarındaki tüm sürümlerin etkilenmiş olduğu düşünülmektedir.
Nasıl düzeltilir
- redhat ansible2.7.17, 2.8.11, 2.9.7 ya da sonraki bir sürüm
- ansible2.7.17, 2.8.11, 2.9.7, 2.8.9, 2.9.6 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WQVOQD4VAIXXTVQAJKTN7NUGTJFE2PCB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DKPA4KC3OJSUFASUYMG66HKJE7ADNGFW/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MRRYUU5ZBLPBXCYG6CFP35D64NP2UB2S/
- security.gentoo.org/glsa/202006-11
- debian.org/security/2021/dsa-4950
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat ansible | v < 2.7.17, 2.8.0 ≤ v < 2.8.11, 2.9.0 ≤ v < 2.9.7 | 2.7.17, 2.8.11, 2.9.7 |
| redhat ansible_tower | v ≤ 3.3.4, 3.3.5 ≤ v ≤ 3.4.5, 3.5.0 ≤ v ≤ 3.5.5, 3.6.0 ≤ v ≤ 3.6.3 | — |
| redhat cloudforms_management_engine | 5.0 | — |
| redhat openstack | 13 | — |
| debian debian_linux | 8.0, 10.0 | — |
| fedoraproject fedora | 30, 31, 32 | — |
| ansiblePyPI | v < 2.7.17, 2.8.0a1 ≤ v < 2.8.11, 2.9.0a1 ≤ v < 2.9.7, 2.8.0 ≤ v < 2.8.9, 2.9.0 ≤ v < 2.9.6 | 2.7.17, 2.8.11, 2.9.7, 2.8.9, 2.9.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.