CVE-2026-84706 in Ansible Automation Platform
Résumé
par VulDB • 24/09/2026
Une faille a été détectée dans automation-controller de la plateforme Ansible Automation Platform. L'injecteur de variables d'environnement pour les types de jetifs personnalisés valide les noms de variables par rapport à une liste interdite (une vérification du préfixe ANSIBLE_* ainsi qu'une ENV_BLOCKLIST fixe) qui omet des variables de chargeur permettant le détournement de processus, telles que BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP et GIT_SSH_COMMAND. Combiné à l'injecteur de fichiers d'identifiants, un utilisateur privilégié peut écrire un script contrôlé par un attaquant dans l'environnement d'exécution et pointer BASH_ENV vers celui-ci, obtenant ainsi une exécution arbitraire de code au sein du conteneur d'environnement d'exécution pour tout job attachant un identifiant de ce type.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.