CVE-2026-80158
Açıklama
community.general Ansible koleksiyonunun ipa_getkeytab modülünde bir kusur bulundu. Kerberos keytab'ı alınırken LDAP simple-bind parolasını sağlamak için kullanılan modülün bind_pw parametresi, aynı modüldeki kardeş password parametresinden farklı olarak no_log ile bildirilmemiştir. Bunun sonucunda, sağlanan IPA/LDAP bind parolası yönetilen ana bilgisayarın sistem günlüğüne/syslog'una (modülün "Invoked with" kaydına) düz metin olarak kaydedilir, modülün dönüş değerlerine ve ayrıntılı (-v) çıktısına dahil edilir ve Automation Controller / AWX iş çıktısında görüntülenir. Parola ayrıca ipa-getkeytab yardımcı programına komut satırında (--bindpw <value> olarak) aktarılır ve komut çalışırken yerel kullanıcılara süreç listesinde açığa çıkar. Bu günlükleri, iş çıktısını veya süreç tablosunu okuyabilen bir saldırgan, dizin bind kimlik bilgisini elde edebilir ve bu kimlik bilgisinin erişebildiği hesapları ve nesneleri potansiyel olarak tehlikeye atabilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Red Hat Red Hat Ceph Storage 5 | Aralık belirtilmemiş | — |
| Red Hat Red Hat Ceph Storage 9 | Aralık belirtilmemiş | — |
| Red Hat Red Hat OpenStack Platform 17.1 | Aralık belirtilmemiş | — |
| Red Hat Red Hat OpenStack Platform 18.0 | Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.