CVE-2026-84724

Ansible Automation Platform automation-controller system-job alt sisteminde bir argüman enjeksiyonu açığı bulundu. system-job şablon başlatma uç noktası, kullanıcı tarafından sağlanan "days" değişkenini, bu alan için başka yerlerde tanımlanmış olan tam sayı doğrulamasını çalıştırmadan saklamaktadır ve dispatcher, iş çalıştırıcısı bunu yeniden bölmeden önce management-command argüman listesini boşluklarla tek bir dizeye dönüştürmektedir; bu nedenle değerdeki boşluklar ek komut satırı argümanlarına dönüşmektedir. Sistem işleri, diğer tüm iş türlerine uygulanan konteyner izolasyonu olmaksızın kontrol düğümü üzerinde işlem içi olarak yürütüldüğünden, süper kullanıcı ayrıcalıklarına sahip kimliği doğrulanmış bir kullanıcı, kontrol düzlemi awx-manage işlemine Python'un path seçeneği dahil olmak üzere rastgele argümanlar enjekte ederek işlemin argüman vektörünü ve modül arama yolunun ilk girişini kontrol edebilir. Tam uzaktan kod çalıştırma, mevcut yönetim komutlarında bulunmayan ek bir içe aktarma aygıtı (import gadget) gerektirdiğinden, kanıtlanmış etki onaylanmış kod çalıştırmadan ziyade, işlem arama yolunun kontrol edildiği bir argüman enjeksiyonudur.