CVE-2020-1753
Açıklama
Ansible Engine'da; k8s modülü kullanılarak kubernetes yönetilirken, 2.7.17 öncesindeki tüm Ansible 2.7.x sürümlerinde, 2.8.11 öncesindeki tüm Ansible 2.8.x sürümlerinde ve 2.9.7 öncesindeki tüm Ansible 2.9.x sürümlerinde bir güvenlik açığı bulundu. Parolalar ve tokenlar gibi hassas parametreler, bir ortam değişkeni veya giriş yapılandırma dosyası kullanılmadan komut satırı üzerinden kubectl'e aktarılmaktadır. Bu durum, parolaların ve tokenların işlem listesinden ifşa olmasına neden olur; ayrıca debug modülündeki no_log direktifi herhangi bir etki yaratmayarak bu sırların stdout üzerinde ve günlük dosyalarında ifşa edilmesine yol açar.
Nasıl düzeltilir
- redhat ansible_engine2.7.18, 2.8.11, 2.9.7 ya da sonraki bir sürüm
- ansible2.7.18, 2.8.12, 2.9.7, 2.8.11 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/WQVOQD4VAIXXTVQAJKTN7NUGTJFE2PCB/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/DKPA4KC3OJSUFASUYMG66HKJE7ADNGFW/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/MRRYUU5ZBLPBXCYG6CFP35D64NP2UB2S/
- security.gentoo.org/glsa/202006-11
- debian.org/security/2021/dsa-4950
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat ansible_engine | v < 2.7.18, 2.8.0 ≤ v < 2.8.11, 2.9.0 ≤ v < 2.9.7 | 2.7.18, 2.8.11, 2.9.7 |
| redhat ansible_tower | v ≤ 3.3.4, 3.4.0 ≤ v ≤ 3.4.5, 3.5.0 ≤ v ≤ 3.5.5, 3.6.0 ≤ v ≤ 3.6.3 | — |
| debian debian_linux | 10.0 | — |
| fedoraproject fedora | 30, 31, 32 | — |
| ansiblePyPI | 2.7.0a1 ≤ v < 2.7.18, 2.8.0a1 ≤ v < 2.8.12, 2.9.0a1 ≤ v < 2.9.7, v < 2.7.18, 2.8.0 ≤ v < 2.8.11, 2.9.0 ≤ v < 2.9.7 | 2.7.18, 2.8.12, 2.9.7, 2.8.11 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.