CVE-2026-68562

ŚrednieCVSS 6.2

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 31/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.25%

Percentyl 17 - wyżej niż 17% wszystkich znanych CVE

Streszczenie

W kolekcji ansible-collection-redhat-leapp osoba atakująca z uprawnieniami do zapisu na zarządzanym węźle może manipulować treścią raportu Leapp. Gdy operator uruchomi określone zadanie naprawcze, zmodyfikowany raport powoduje, że kontroler Ansible odczytuje własne pliki lokalne i kopiuje je na zarządzany węzeł, co prowadzi do ujawnienia wrażliwych danych, takich jak klucze prywatne czy poświadczenia.

Ocena ryzyka

Organizacja narażona jest na wyciek poufnych danych z kontrolera Ansible, w tym kluczy prywatnych i poświadczeń, co może umożliwić dalsze ataki na infrastrukturę.

Rekomendacja

Zaktualizuj kolekcję ansible-collection-redhat-leapp do wersji zawierającej poprawkę zapobiegającą manipulacji raportem Leapp.

Inne podatności w ansible-collection-redhat-leapp

CVE-2026-68563Średnie
W kolekcji ansible-collection-redhat-leapp podczas wykonywania zadania naprawczego z podwyższonymi uprawnieniami i wybraną opcją `leapp_old_postgresql_data` tworzona jest kopia zapasowa danych PostgreSQL z niebezpiecznymi uprawnieniami. Lokalny użytkownik niebędący rootem na zarządzanym węźle może odczytać wrażliwe dane z archiwum.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in ansible-collection-redhat-leapp. An attacker with privileged write access to a managed node's Leapp report content can manipulate it. When an operator runs a specific remediation task, this manipulated report can cause the Ansible controller to read its own local files and copy them to the managed node. This vulnerability leads to information disclosure, potentially exposing sensitive controller-side data such as private keys or credentials.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS