CVE-2026-94416 in Ansible Automation Platform
要約
〜によって VulDB • 2026年09月24日
Ansible Automation Platform (AAP) のゲートウェイで、認可のバイパスが検出されました。ゲートウェイ API は、認証済み管理者が Controller サービスクラスター用の新しいサービスキーを作成できるようにします。サービスキーの作成はインストーラーによるプロビジョニングパスに限定されていないため、管理者が発行したキーは正当なものと暗号的に見分けがつかず、Controller サービスを装うためのサービス認証トークンを偽造するために使用できます。ゲートウェイ OIDC ワークロードアイデンティティエンドポイント（FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED を介して有効化）と組み合わせることで、攻撃者は任意の Controller ワークロードに対する Workload Identity Tokens (WITs) の署名をゲートウェイに強要することができます。ゲートウェイ OIDC キーを信頼する HashiCorp Vault などの下流リソースサーバーは、偽造された WIT を受け入れ、そのワークロードに関連付けられた AAP 資格情報を返すため、攻撃者の認可境界を超えた機密情報が漏洩します。
If you want to get best quality of vulnerability data, you may have to visit VulDB.