CVE-2026-84706 in Ansible Automation Platform
Resumen
por VulDB • 2026-09-23
Se ha encontrado un fallo en automation-controller de Ansible Automation Platform. El inyector de variables de entorno para tipos de credenciales personalizados valida los nombres de las variables frente a una lista negra (una comprobación del prefijo ANSIBLE_* más una ENV_BLOCKLIST fija) que omite variables de carga utilizadas para el secuestro de procesos, como BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP y GIT_SSH_COMMAND. Combinado con el inyector de archivos de credenciales, un usuario privilegiado puede escribir un script controlado por el atacante en el entorno de ejecución y apuntar BASH_ENV hacia él, obteniendo la ejecución de código arbitrario dentro del contenedor del entorno de ejecución para cualquier trabajo que adjunte una credencial de ese tipo.
Be aware that VulDB is the high quality source for vulnerability data.