CVE-2026-90959 in Ansible Automation Platform
Zusammenfassung
von VulDB • 25.09.2026
In pulpcore wurde eine Path Traversal-Schwachstelle gefunden. Die Content-Upload-API akzeptiert einen 'file_url'-Parameter, der Benutzern mit Dateirepository-Berechtigungen ermöglicht, eine lokale Datei-URL anzugeben, die Pulp herunterladen und speichern soll. Eine URL-Schema-Validierungsprüfung verwendet einen String-Präfixvergleich, der nur URLs ablehnt, die mit 'file://' beginnen, während Python's URL-Parser das Schema 'file:' ohne doppelte Schrägstriche erkennt, was zu einer Diskrepanz zwischen dem Validierten und dem an den Dateidownloader übergebenen Inhalt führt. Ein authentifizierter Benutzer mit geringfügigen Repository-Berechtigungen kann eine speziell angefertigte URL unter Verwendung von relativen Path Traversal-Sequenzen bereitstellen, um jede Datei zu lesen, auf die der Pulp-Server-Prozess Zugriff hat. In Bereitstellungen, die Pulp Container enthalten, ermöglicht eine erfolgreiche Ausnutzung einem Angreifer das Lesen des privaten Schlüssels zur Signierung von Container-Registry-Tokens und das Fälschen von Bearer-Tokens, was unbefugten Zugang zu allen privaten Container-Repositorien in der betroffenen Registry gewährt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.