CVE-2026-84706 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 23.
Ansible Automation Platform의 automation-controller에서 결함이 발견되었습니다. 사용자 지정 Credential Type 환경 변수 인젝터는 ANSIBLE_* 접두사 확인과 고정된 ENV_BLOCKLIST로 구성된 차단 목록(deny-list)에 따라 변수 이름을 검증하지만, BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP 및 GIT_SSH_COMMAND와 같은 프로세스 하이재킹 로더 변수들은 누락되어 있습니다. Credential 파일 인젝터와 결합하면, 특권 사용자는 공격자가 제어하는 스크립트를 실행 환경에 작성하고 BASH_ENV를 해당 스크립트로 지정하여, 해당 유형의 자격 증명을 연결하는 모든 작업의 경우 실행 환경 컨테이너 내에서 임의 코드 실행(arbitrary code execution)을 얻을 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.