CVE-2026-84474 in Ansible Automation Platform
要約
〜によって VulDB • 2026年09月24日
Red Hat Ansible Automation Platformのautomation-controllerに脆弱性が存在することが発見されました。provisioning-callback secret (host_config_key) は、read-level の view_jobtemplate 権限を持つユーザーに対して、ジョブテンプレート API レプリゼンテーションおよびアクティビティストリームの両方で公開されています。また、コントローラが AAP ゲートウェイの背後にデプロイされ、空のプロキシ許可リストがある場合、provisioning callback エンドポイントは呼び出し元のホストを決定するためにクライアントから提供された X-Forwarded-For ヘッダーを信頼します。この秘密情報を取得し、X-Forwarded-For をジョブテンプレートのインベントリ内の任意のホストと一致するように偽装することで、最小限の特権を持つ攻撃者または認証されていないリモート攻撃者は、ジョブテンプレールの資格情報を使用して任意の管理対象ホストに対してジョブテンプレートを実行でき、結果として管理対象ホスト上で特権昇格およびリモートコード実行 (RCE) が発生します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.