CVE-2025-9908
ŚrednieCVSS 6.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
W Red Hat Ansible Automation Platform, w komponencie Event-Driven Ansible (EDA) Event Streams, wykryto błąd. Podatność pozwala uwierzytelnionemu użytkownikowi uzyskać dostęp do wrażliwych nagłówków wewnętrznej infrastruktury (takich jak X-Trusted-Proxy i X-Envoy-*) oraz adresów URL strumieni zdarzeń za pomocą spreparowanych żądań i szablonów zadań. Poprzez eksfiltrację tych nagłówków atakujący może podszyć się pod zaufane żądania, eskalować uprawnienia lub przeprowadzić złośliwe wstrzykiwanie zdarzeń.
Ocena ryzyka
Uwierzytelniony atakujący może uzyskać dostęp do wrażliwych informacji o infrastrukturze i eskalować uprawnienia, co może prowadzić do przejęcia kontroli nad strumieniami zdarzeń i wstrzykiwania złośliwych danych.
Rekomendacja
Zaktualizuj Red Hat Ansible Automation Platform do wersji zawierającej poprawkę. Ogranicz uprawnienia do tworzenia i modyfikowania szablonów zadań oraz monitoruj nietypowe żądania do API strumieni zdarzeń.
Inne podatności w Red Hat Ansible Automation Platform
Zobacz wszystkie- CVE-2026-104710Nieznane
Ten numer CVE został odrzucony, ponieważ jest duplikatem CVE-2026-71364, który został publicznie ujawniony i naprawiony w Red Hat Ansible Automation Platform 2026-08-24. Nie jest wymagany osobny identyfikator.
- CVE-2026-84499Wysokie
W Red Hat Ansible Automation Platform (automation-controller) znaleziono błąd. Pytania ankiety typu hasło są tylko do zapisu i przechowywane w formie zaszyfrowanej, wyświetlane jako placeholder przy odczycie. Gdy harmonogram lub węzeł szablonu zadania jest ponownie walidowany względem zaostrzonej specyfikacji ankiety, kontroler deszyfruje zapisane hasło i umieszcza jego jawną wartość w komunikacie błędu walidacji długości minimalnej/maksymalnej zwracanym w odpowiedzi HTTP. Użytkownik z delegowaną rolą JobTemplate Admin może zaostrzyć ograniczenie długości ankiety i wywołać ponowną walidację harmonogramu lub węzła utworzonego przez innego użytkownika z wyższymi uprawnieniami, odzyskując w ten sposób jawne hasło tego użytkownika.
- CVE-2026-84486Wysokie
W Red Hat Ansible Automation Platform (automation-controller) cztery widoki debugowe wyzwalające wewnętrzne schedulery zadań, zależności i workflow są dostępne dla dowolnego użytkownika, w tym niezalogowanego, ponieważ ich routing nie jest ograniczony ustawieniem debug. Nieuwierzytelniony zdalny atakujący może wielokrotnie wywoływać te endpointy, przejmując ogólnoklastrową blokadę schedulera, co powoduje pomijanie rzeczywistych uruchomień i wstrzymanie dyspozycji zadań dla wszystkich tenantów oraz zużycie workerów webowych.
- CVE-2025-9909Średnie
W komponencie tworzenia tras w Red Hat Ansible Automation Platform Gateway wykryto błąd. Podatność pozwala na kradzież danych uwierzytelniających poprzez tworzenie mylących tras z prefiksem podwójnego ukośnika (//) w gateway_path. Złośliwy lub zmanipulowany administrator może skonfigurować trasę-pułapkę, aby przechwytywać i eksfiltrować dane uwierzytelniające użytkowników, potencjalnie utrzymując trwały dostęp lub tworząc backdoor nawet po odebraniu uprawnień.
- CVE-2025-9907Średnie
W Red Hat Ansible Automation Platform, w API strumieni zdarzeń Event-Driven Ansible (EDA), wykryto błąd. Podatność pozwala na ujawnienie wrażliwych danych uwierzytelniających klienta i nagłówków wewnętrznej infrastruktury poprzez pole test_headers, gdy strumień zdarzeń jest w trybie testowym. Możliwe skutki obejmują wyciek szczegółów infrastruktury wewnętrznej, przypadkowe ujawnienie danych uwierzytelniających użytkownika lub systemu, eskalację uprawnień w przypadku ujawnienia tokenów o wysokiej wartości oraz trwałe ujawnienie wrażliwych danych wszystkim użytkownikom z prawem odczytu strumienia zdarzeń.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the Red Hat Ansible Automation Platform, Event-Driven Ansible (EDA) Event Streams. This vulnerability allows an authenticated user to gain access to sensitive internal infrastructure headers (such as X-Trusted-Proxy and X-Envoy-*) and event stream URLs via crafted requests and job templates. By exfiltrating these headers, an attacker could spoof trusted requests, escalate privileges, or perform malicious event injection.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS