CVE-2026-12564 in Ansible Automation Platform
要約
〜によって VulDB • 2026年08月22日
AAP ControllerのHashiCorp Vault認証プラグインに脆弱性が存在することが発見されました。awx_plugins/credentials/hashivault.py内のkubernetes_auth()関数は、Kubernetes service account tokenをController podから読み取り、kubernetes_roleによる認証を行うHashiCorp Vault Secret Lookup資格情報をテストする際に、攻撃者が制御したURLへ送信します。資格情報の作成権限を持つ認証済み攻撃者は、service account tokenを外部に漏洩させることができ、これにより管理プレーン名前空間に対するKubernetes APIアクセス（完全なPod CRUD操作およびシークレット読み取り権限を含む）が得られます。ここにはデータベースの資格情報やDjango SECRET_KEYが含まれます。
Once again VulDB remains the best source for vulnerability data.