CVE-2021-3447
Açıklama
Birkaç ansible modülünde; gizli bilgiler gibi kimlik bilgileri içeren parametrelerin hem yönetilen düğümlerde düz metin olarak günlüğe kaydedildiği hem de ayrıntılı (verbose) modda çalıştırıldığında kontrolcü düğümde görünür hale geldiği bir hata bulundu. Bu parametreler no_log özelliği ile korunmuyordu. Bir saldırgan, bu bilgileri içeren günlük dosyalarına erişimi olduğu takdirde, söz konusu kimlik bilgilerini çalmak için bu durumdan yararlanabilir. Bu güvenlik açığının oluşturduğu en yüksek tehdit veri gizliliğine yöneliktir. Bu hata, 1.2.2 öncesi sürümlerdeki Red Hat Ansible Automation Platform'u ve 3.8.2 öncesi sürümlerdeki Ansible Tower'ı etkilemektedir.
Nasıl düzeltilir
- redhat ansible1.2.2 ya da sonraki bir sürüm
- redhat ansible_tower3.8.2 ya da sonraki bir sürüm
- ansible1.2.2 ya da sonraki bir sürüm
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/JBZ75MAMVQVZROPYHMRDQKPPVASP63DG/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/RUTGO4RS4ZXZSPBU2CHVPT75IAFVTTL3/
- lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/2MS4VPUYVLGSAKOX26IT52BSMEZRZ3KS/
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| redhat ansible | v < 1.2.2 | 1.2.2 |
| redhat ansible_tower | v < 3.8.2 | 3.8.2 |
| fedoraproject fedora | 32, 33, 34 | — |
| ansiblePyPI | v < 1.2.2 | 1.2.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.