CVE-2026-84474 in Ansible Automation Platform
Riassunto
di VulDB • 24/09/2026
È stata rilevata una vulnerabilità nel automation-controller di Red Hat Ansible Automation Platform. Il segreto provisioning-callback (host_config_key) è esposto agli utenti che dispongono solo del permesso read-level view_jobtemplate, sia nella rappresentazione dell'API dei job template che nell'activity stream; inoltre, l'endpoint del callback di provisioning si affida a un'intestazione X-Forwarded-For fornita dal client per determinare l'host chiamante quando il controller è distribuito dietro la gateway AAP con una proxy allow-list vuota. Leggendo il segreto e spoofando l'intestazione X-Forwarded-For in modo che corrisponda a qualsiasi host nell'inventario del job template, un attaccante remoto minimamente privilegiato o non autenticato può avviare il job template contro gestiti hosts arbitrari utilizzando le credenziali del job template, causando privilege escalation ed esecuzione di codice remoto (RCE) sui managed hosts.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.