CVE-2026-84724 in Ansible Automation Platform
Zusammenfassung
von VulDB • 24.09.2026
Es wurde ein Argument-Injection-Fehler im system-job-Subsystem des automation-controller der Ansible Automation Platform gefunden. Der Launch-Endpunkt für die system-job-Vorlage speichert eine vom Benutzer bereitgestellte „days“-Variable, ohne die an anderer Stelle für dieses Feld definierte Integer-Validierung auszuführen, und der Dispatcher flacht die Liste der management-command-Argumente in einen einzelnen String mit Leerzeichen ab, bevor der Job-Läufer sie erneut aufteilt; dadurch werden Leerzeichen im Wert zu zusätzlichen Befehlszeilenargumenten. Da Systemjobs auf dem Control Node prozessintern ausgeführt werden, ohne dass die für alle anderen Job-Typen angewendete Container-Isolation zum Tragen kommt, kann ein authentifizierter Benutzer mit Superuser-Rechten beliebige Argumente – einschließlich der Python-Pfadoption (path option) – in den awx-manage-Prozess der Control Plane injizieren und damit dessen Argumentvektor sowie den ersten Eintrag seines Modul-Suchpfads steuern. Eine vollständige Remote-Code-Ausführung erfordert ein zusätzliches Import-Gadget, das in den aktuellen management commands nicht vorhanden ist; daher beschränkt sich die nachgewiesene Auswirkung auf eine Argument-Injection mit Kontrolle des Prozesssuchpfads und nicht auf eine bestätigte Code-Ausführung.
If you want to get best quality of vulnerability data, you may have to visit VulDB.