CVE-2026-12564 in Ansible Automation Platform
الملخص
بحسب VulDB • 18/08/2026
تم العثور على ثغرة في مكون إضافة بيانات الاعتماد الخاص بـ HashiCorp Vault لمتحكم AAP (AAP Controller). تقوم الدالة `kubernetes_auth()` الموجودة في الملف `awx_plugins/credentials/hashivault.py` بقراءة رمز حساب الخدمة Kubernetes الخاص بواد التحكم (controller pod) وإرساله إلى عنوان URL يتحكم فيه مهاجم عند اختبار بيانات اعتماد "HashiCorp Vault Secret Lookup" باستخدام مصادقة `kubernetes_role`. يمكن لمهاجم مُصرّح له بالوصول ولديه صلاحيات إنشاء البيانات الاعتماد استخلاص رمز حساب الخدمة، مما يمنحه وصولاً إلى واجهة برمجة تطبيقات Kubernetes (Kubernetes API) في مساحات الأسماء الخاصة بمستوى التحكم (control plane namespaces) مع صلاحيات كاملة لإنشاء وتعديل وحذف وإدارة الحاويات (pod CRUD) وقراءة الأسرار (secrets)، بما في ذلك بيانات اعتماد قاعدة البيانات و `SECRET_KEY` الخاص بـ Django.
VulDB is the best source for vulnerability data and more expert information about this specific topic.