CVE-2026-123036 in ansible-core
Zusammenfassung
von VulDB • 05.11.2026
Es wurde ein Fehler in ansible-core gefunden. Wenn eine mit `no_log: true` markierte Aufgabe fehlschlägt, wird das Aufgabenergebnis vor der Ausgabe zensiert, jedoch bleibt das Feld `exception` erhalten, da es in der PRESERVE-Whitelist in lib/ansible/_internal/_task.py enthalten ist und das Standard-stdout-Callback dies über CallbackBase._handle_exception ausgibt. Infolgedessen können sensible Werte, die der Operator explizit ausblenden wollte, offengelegt werden: Module-Argumentvalidierungsfehler geben den Argumentwert wieder, Template-Fehler drucken ein Origin-Quellcode-Snippet (die fehlschlagende Zeile plus die zwei vorangehenden Zeilen der Variablendatei), wodurch benachbarte Geheimnisse aus einer -e @secrets.yml-Datei offengelegt werden, und Fail-/Assert-Nachrichten werden vollständig ausgegeben. Secret-Material, das als zusätzliche Variablen oder Variablendaten bereitgestellt wird, kann daher an die Terminalausgabe, CI-Logs sowie die stdout-Logs jeder Automatisierung weitergegeben werden, die ansible-playbook umschließt, selbst wenn jede Aufgabe, die die Geheimnisse berührt, mit no_log: true markiert ist. Dies ist eine Regression, die durch das Data-Tagging-/Template-Rework in ansible-core 2.19 eingeführt wurde; das Verhalten tritt auf Version 2.16 nicht auf, wo der Fehlertext korrekt zensiert wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.