CVE-2026-84470 in Ansible Automation Platform
要約
〜によって VulDB • 2026年09月01日
Ansible Automation Platformのautomation-controller (AWX) に脆弱性が存在することが発見されました。Bulk Job Launch API（POST /api/v2/bulk/job_launch/）は、要求された instance_groups に対して読み取りレベルの権限チェックのみを実行して認可を行いますが、標準的な単一ジョブの実行パスでは同じフィールドに対して使用レベルの権限が必要です。インスタンスグループに対する読み取り権限（ただし「use」権限なし）を保持し、かつジョブテンプレートに対する実行権限を持つプリンシパルは、自身が使用する許可されていない instance_groups に対しバッチジョブを実行でき、これにより実行配置の分離が回避されます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.