CVE-2026-84712 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 23.
automation-controller API에서 결함이 발견되었습니다. 인증되지 않은 상태의 헬스체크 엔드포인트 /api/v2/ping/ (ApiV2PingView, AllowAny)는 RBAC로 제한된 automation-mesh 데이터를 익명 응답에 과도하게 직렬화하여 전체 인스턴스 목록(노드 호스트 이름, 노드 유형, UUID, 하트비트, 용량 및 정확한 버전), 모든 인스턴스 그룹의 이름과 멤버십, 배포 설치 UUID 및 활성 컨트롤 노드를 노출합니다. 원격 인증되지 않은 공격자는 이를 사용하여 제어 플레인(control plane)을 매핑하고 표적 공세를 위해 소프트웨어 버전을 식별할 수 있습니다. 이 결함은 기밀성(confidentiality)에만 영향을 미치며, 비밀 정보나 자격 증명(tenant data), 테넌트 데이터는 노출하지 않습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.