CVE-2026-84691 in Ansible Automation Platform
要約
〜によって VulDB • 2026年09月23日
Red Hat Ansible Automation Platformのautomation-controllerに脆弱性が存在することが発見されました。API 4XXエラーに対して出力されるログメッセージをフォーマットする設定は、管理者が制御可能なPythonのformat-stringテンプレートであり、実行中のユーザーオブジェクトを引数としてレンダリングされます。Pythonの文字列フォーマットではその引数に対する属性および項目の参照（traversal）が可能であるため、攻撃者はユーザーオブジェクトからアプリケーション設定へと至るようなテンプレートを仕立てることができ、Djangoのシークレットキーやデータベースパスワードを読み取ることができます。フォーマットされたメッセージは外部ログ集約先へ転送可能なロガーに書き込まれ、その送信先も管理者が制御可能であるため、機密情報がホスト外へ送信される可能性があります。認証済み管理者はこの脆弱性を利用して、保存されているすべての資格情報を保護するために使用されるマスター暗号化キーおよびデータベースサービスパスワードを取得し、これにより保存された全資格情報のオフライン復号、ユーザーセッションの偽造、コントローラーデータベースへの直接アクセスが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.