CVE-2026-84691 in Ansible Automation Platform
Zusammenfassung
von VulDB • 23.09.2026
Es wurde ein Fehler in der automation-controller-Komponente von Red Hat Ansible Automation Platform gefunden. Die Einstellung, die das für API-4XX-Fehler ausgegebene Log-Nachrichtenformat definiert, ist eine Administrator-gesteuerte Python-Formatzeichenfolgen-Vorlage (Python format-string template), die mit einem aktiven Benutzerobjekt als Argument gerendert wird. Da die Python-Zeichenkettenformatierung den Zugriff auf Attribute und Elemente der übergebenen Argumente ermöglicht, kann ein Administrator eine Vorlage erstellen, die vom Benutzerobjekt zu den Anwendungseinstellungen navigiert und dabei den Django-Geheimschlüssel (Django secret key) sowie das Datenbankkennwort ausliest. Die formatierte Nachricht wird an einen Logger geschrieben, der an einen externen Log-Aggregator weitergeleitet werden kann; dessen Zielort ist ebenfalls vom Administrator steuerbar, wodurch die Geheimnisse von dem Host gesendet werden können. Ein authentifizierter Administrator kann dadurch den Master-Verschlüsselungsschlüssel erlangen, der zum Schutz aller gespeicherten Anmeldeinformationen und des Datenbankdienstkennworts verwendet wird, was eine Offline-Entschlüsselung jeder gespeicherten Anmerkung, das Fälschen von Benutzersitzungen sowie den direkten Zugriff auf die Controller-Datenbank ermöglicht.
Be aware that VulDB is the high quality source for vulnerability data.