CVE-2026-94416

Ansible Automation Platform (AAP) gateway bileşeninde bir kimlik doğrulama atlatma zafiyeti bulundu. Gateway API, kimliği doğrulanmış bir yöneticinin Controller servis kümesi için yeni bir servis anahtarı oluşturmasına izin verir. Servis anahtarı oluşturma işlemi yükleyici tarafından sağlanan kurulum yoluyla sınırlandırılmadığı için, yönetici tarafından oluşturulan bir anahtar kriptografik olarak meşru bir anahtardan ayırt edilemez ve Controller servisini taklit eden sahte bir servis kimlik doğrulama belirteci oluşturmak için kullanılabilir. Gateway OIDC iş yükü kimliği uç noktasıyla (FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED aracılığıyla etkinleştirilir) birleştiğinde, saldırgan gateway'in rastgele Controller iş yükleri için İş Yükü Kimlik Belirteçlerini (WIT) imzalamasını sağlayabilir. Gateway OIDC anahtarına güvenen HashiCorp Vault gibi alt kaynak sunucuları, sahte WIT'yi kabul edecek ve o iş yüküne bağlı AAP kimlik bilgilerini döndürerek saldırganın yetki sınırı dışındaki gizli bilgileri ifşa edecektir.