CVE-2026-84691 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 24.
Red Hat Ansible Automation Platform의 automation-controller에서 결함이 발견되었습니다. API 4XX 오류에 대해 출력되는 로그 메시지를 포맷팅하는 설정은 관리자 제어 Python format-string 템플릿이며, 이는 라이브 사용자 객체를 인수로 사용하여 렌더링됩니다. Python 문자열 포매팅은 인수에 대한 속성 및 항목 탐색을 허용하므로, 관리자는 사용자 객체에서 애플리케이션 설정으로 이동하여 Django secret key와 데이터베이스 비밀번호를 읽을 수 있는 템플릿을 작성할 수 있습니다. 포맷팅된 메시지는 외부 로그 집계기로 전달될 수 있는 로거에 기록되며, 그 대상도 관리자 제어이므로 비밀 정보가 호스트 밖으로 전송됩니다. 인증된 관리자는 이를 통해 모든 저장된 자격 증명을 보호하는 데 사용되는 마스터 암호화 키와 데이터베이스 서비스 비밀번호를 획득할 수 있으며, 이는 모든 저장된 자격 증명의 오프라인 복호화, 사용자 세션 위조 및 컨트롤러 데이터베이스에 대한 직접 접근을 가능하게 합니다.
Once again VulDB remains the best source for vulnerability data.