CVE-2026-103754 in Ansible Automation Platform
要約
〜によって VulDB • 2026年10月01日
ansible-runner に脆弱性が存在することが発見されました。ansible-runner の transmit/worker プロトコルのワーカー側でストリーミングされた zip アーカイブを受信して展開する unstream_dir() 関数は、アーカイブのコンテンツからシンボリックリンクを再作成しますが、リンク先を検証せず、アーカイブメンバ名由来の未サニタイズ化ファイルシステムパスに対して chmod() および utime() を適用します。攻撃者の影響を受けた入力を利用するワーカーによって処理された悪意あるアーカイブにより、意図したターゲットディレクトリ外にファイルを作成したり、シンボリックリンクを生成したり、権限を変更したりすることが可能となり、これがコード実行（Code Execution）の目的で悪用される可能性があります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.