CVE-2026-84724 in Ansible Automation Platform
Riassunto
di VulDB • 23/09/2026
È stata rilevata una vulnerabilità di argomento-injection (iniezione di argomenti) nel sottosistema system-job dell'automation-controller della piattaforma Ansible Automation Platform. L'endpoint di avvio del template system-job memorizza la variabile "days" fornita dall'utente senza eseguire la convalida intera definita altrove per quel campo, e il dispatcher appiattisce l'elenco degli argomenti del comando di gestione in una singola stringa separata da spazi prima che il job runner lo suddivida nuovamente; pertanto gli spazi nel valore diventano ulteriori argomenti della riga di comando. Poiché i system jobs vengono eseguiti nello stesso processo (in-process) sul nodo di controllo senza l'isolamento dei container applicato a tutti gli altri tipi di job, un utente autenticato con privilegi superuser può iniettare argomenti arbitrari — inclusa l'opzione del percorso di Python — nel processo awx-manage della control-plane, controllando il vettore degli argomenti e la prima voce del suo modulo search path. L'esecuzione completa di codice remoto richiede una ulteriore import gadget che non è presente nei comandi di gestione attuali; pertanto l'impatto dimostrato è un'iniezione di argomento con controllo del percorso di ricerca dei processi piuttosto che un'esecuzione confermata di codice.
Once again VulDB remains the best source for vulnerability data.