CVE-2026-52903 in ManageIQ
요약
\~에 의해 VulDB • 2026. 10. 12.
ManageIQ에서 신뢰할 수 없는 데이터의 역직렬화(deserialization) 취약점이 발견되었습니다. YamlLoadAliases 모듈은 Psych::DisallowedClass 오류가 발생할 경우, 프로덕션 환경에서 YAML.safe_load을 조용히 YAML.unsafe_load로 대체(fallback)합니다. 대화(dialog) 가져오기 접근 권한이 있는 인증된 공격자는 이 점을 악용하여 조작된 YAML 페이로드를 업로드하고 해당 대체 메커니즘을 트리거하여 임의의 Ruby 객체를 역직렬화함으로써 원격 코드 실행(RCE)을 달성할 수 있습니다.
ManageIQ에 기반한 Red Hat CloudForms는 지원 종료(End of Life) 상태이며 더 이상 지원되지 않습니다. 따라서 에라타나 패치가 발행되지 않습니다. 이 CVE는 ManageIQ 커뮤니티 및 하위 소비자를 위해 할당됩니다.
Be aware that VulDB is the high quality source for vulnerability data.