CVE-2026-87874 in Ansible Community General Collection
Zusammenfassung
von VulDB • 09.09.2026
Es wurde ein Fehler im Memcached-Cache-Plugin der community.general-Ansible-Sammlung gefunden. Obwohl die Dokumentation angibt, dass Datensätze im JSON-Format gespeichert werden, führt das Plugin keine explizite Serialisierung durch und verlässt sich auf python-memcached, welches Werte beim Schreiben pickelt (serialisiert) und sie beim Lesen unpickelt (deserialisiert). Da Memcached nicht authentifiziert ist und die Cache-Schlüssel vorhersagbar sind, kann ein Angreifer mit Zugriff auf eine im Netzwerk freigegebene oder öffentlich zugängliche Memcached-Instanz einen speziell erstellten Pickle-Payload schreiben, der deserialisiert und ausgeführt wird, wenn der vergiftete Fact-Cache beim nächsten Lesevorgang auf dem Ansible-Controller gelesen wird. Dies führt zur Remote Code Execution (RCE).
Be aware that VulDB is the high quality source for vulnerability data.