Podatności ansible-core

W ansible-core wykryto lukę. Podczas instalacji kolekcji za pomocą `ansible-galaxy collection install` ekstraktor archiwum waliduje ścieżki elementów za pomocą normalizacji leksykalnej (os.path.abspath) zamiast rozwiązywania dowiązań symbolicznych (os.path.realpath) i nie wykonuje sprawdzenia zawierania dla elementów katalogowych typu symlink przed ich utworzeniem. Spreparowany tarball kolekcji może łańcuchowo łączyć wpisy katalogów symlinków, tak że kolejny element pliku zostanie zapisany poza zamierzonym katalogiem docelowym.

Funkcja RunAdHocCommand.build_args() dołącza parametr limit jako pozycyjny argument (args.append(limit)) zamiast używać args.extend(['-l', limit]) jak w RunJob. Limit rozpoczynający się od myślnika jest interpretowany jako opcja CLI ansible. Obecnie ograniczone do flag krótkiego spięcia (--version, --help), ponieważ wstrzyknięty element wypiera wymagany argument wzorca. Eskalowałoby, gdyby ansible-core kiedykolwiek ustawiło wzorzec jako domyślny.

W ansible-core funkcja _extract_collection_from_git() w concrete_artifact_manager.py konstruuje polecenia git clone bez separatora '--' przed adresami URL dostarczonymi przez użytkownika. Atakujący może dostarczyć złośliwy URI źródła kolekcji zawierający wstrzyknięcie argumentów git, co prowadzi do wykonania dowolnego polecenia podczas instalacji kolekcji.

Wada w ansible-core: polecenie ansible-galaxy role install przetwarza specyfikacje zależności z pliku meta/requirements.yml. Z powodu niewłaściwej neutralizacji ograniczników argumentów, złośliwy autor roli może wstrzyknąć dowolne flagi konfiguracyjne gita przez pole src, co umożliwia wykonanie dowolnego kodu na maszynie użytkownika instalującego rolę.

W Ansible-Core wykryto podatność umożliwiającą ominięcie zabezpieczeń przed niebezpieczną treścią. Atakujący może wykorzystać obiekt hostvars do odwoływania się i wykonywania treści szablonów, co prowadzi do zdalnego wykonania kodu.