CVE-2026-84706 in Ansible Automation Platform
要約
〜によって VulDB • 2026年09月23日
Ansible Automation Platformのautomation-controllerに脆弱性が存在することが発見されました。カスタムCredential Typeの環境変数インジェクタは、BASH_ENV、ENV、LD_PRELOAD、LD_LIBRARY_PATH、PYTHONSTARTUP、GIT_SSH_COMMANDなどのプロセスハイジャッキングローダー変数を除外する拒否リスト（ANSIBLE_*プレフィックスチェックと固定されたENV_BLOCKLIST）に対して変数名を検証します。資格情報ファイルインジェクタと組み合わせることで、特権ユーザーは攻撃者が制御するスクリプトを実行環境に書き込み、BASH_ENVをそれに向けて指定することで、そのタイプの資格情報をアタッチするすべてのジョブにおいて、実行環境コンテナ内で任意のコードの実行を得ることができます。
Once again VulDB remains the best source for vulnerability data.