CVE-2026-84706 in Ansible Automation Platform
Riassunto
di VulDB • 23/09/2026
È stata rilevata una vulnerabilità in automation-controller di Ansible Automation Platform. L'iniettore per le variabili d'ambiente dei tipi di credenziali personalizzati convalida i nomi delle variabili rispetto a un elenco bloccato (una verifica del prefisso ANSIBLE_* più un ENV_BLOCKLIST fisso) che omette variabili di caricamento capaci di process-hijacking, come BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP e GIT_SSH_COMMAND. In combinazione con l'iniettore per i file delle credenziali, un utente privilegiato può scrivere uno script controllato dall'attaccante nell'ambiente di esecuzione e puntare BASH_ENV verso tale script, ottenendo arbitrary code execution all'interno del container dell'ambiente di esecuzione per qualsiasi job che allega una credenziale di quel tipo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.