CVE-2026-94416 in Ansible Automation Platform
Zusammenfassung
von VulDB • 24.09.2026
Es wurde eine Umgehung der Autorisierung im Gateway der Ansible Automation Platform (AAP) festgestellt. Die Gateway-API ermöglicht es einem authentifizierten Administrator, einen neuen Dienstschlüssel für den Controller-Dienstcluster zu erstellen. Da die Erstellung von Dienstschlüsseln nicht auf den vom Installer bereitgestellten Bereitstellungsprozess beschränkt ist, ist ein von einem Administrator ausgestellter Schlüssel kryptografisch nicht von einem legitimen zu unterscheiden und kann verwendet werden, um ein Dienstauthentifizierungstoken zu fälschen, das sich als der Controller-Dienst ausgibt. In Kombination mit dem Gateway-OIDC-Endpunkt für Workload-Identitäten (aktiviert über FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED) kann es einem Angreifer ermöglicht werden, das Gateway dazu zu bringen, Workload Identity Tokens (WITs) für beliebige Controller-Workloads zu signieren. Ein nachgelagerter Ressourcenserver wie HashiCorp Vault, dem der OIDC-Schlüssel des Gateways vertraut, akzeptiert den gefälschten WIT und gibt die an diese Workload gebundenen AAP-Anmeldeinformationen zurück, wodurch Geheimnisse offengelegt werden, die über die Autorisierungsgrenze des Angreifers hinausgehen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.