CVE-2026-84706 in Ansible Automation Platform
Zusammenfassung
von VulDB • 24.09.2026
Es wurde ein Fehler im automation-controller der Ansible Automation Platform festgestellt. Der benutzerdefinierte Injector für Umgebungsvariablen des Credential Type überprüft Variablennamen gegen eine Deny-Liste (eine Prüfung auf das ANSIBLE_*-Präfix sowie eine feste ENV_BLOCKLIST), die prozesshijackende Loader-Variablen wie BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP und GIT_SSH_COMMAND auslässt. In Kombination mit dem Credential File Injector kann ein privilegierter Benutzer ein vom Angreifer kontrolliertes Skript in die Ausführungsumgebung schreiben und BASH_ENV darauf verweisen lassen, wodurch beliebiger Code im Container der execution-environment für jeden Job ausgeführt wird, der eine Berechtigung dieses Typs verwendet.
Be aware that VulDB is the high quality source for vulnerability data.