CVE-2026-84470 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 01.
Ansible Automation Platform의 automation-controller(AWX)에서 결함이 발견되었습니다. Bulk Job Launch API(POST /api/v2/bulk/job_launch/)는 요청된 instance_groups에 대해 읽기 수준의 권한 확인만 수행하는 반면, 표준 단일 job launch 경로는 동일한 필드에 대한 use-level permission을 요구합니다. 인스턴스 그룹에 대해 read(permission은 있지만 use permission이 없는) 권한을 보유하고 있는 principal(예: 내장된 read-only System Auditor 역할)과 job template에 대한 execute permission을 함께 보유할 경우, 해당 principal은 실행 배치 격리(execution-placement isolation)를 우회하여 자신이 사용할 수 없도록 허가되지 않은 instance_groups로 bulk jobs를 launch할 수 있습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.