CVE-2026-84724 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 24.
Ansible Automation Platform의 automation-controller 시스템-job 서브시스템에서 인자 주입 결함이 발견되었습니다. system-job 템플릿 시작 엔드포인트는 해당 필드에 대해 다른 곳에서 정의된 정수 검증을 수행하지 않고 사용자가 제공한 "days" 변수를 저장합니다. 또한 디스패처는 작업 실행기가 다시 분할하기 전에 관리 명령어 인자 목록을 공백으로 단일 문자열로 평평하게 만듭니다. 따라서 값 내의 공백이 추가적인 커맨드라인 인자로 변환됩니다. 시스템 작업은 모든 다른 작업 유형에 적용되는 컨테이너 격리가 없이 제어 노드에서 프로세스 내에서 실행되므로, 슈퍼유저 권한을 가진 인증된 사용자는 Python의 path 옵션과 같은 임의의 인자를 control-plane awx-manage 프로세스에 주입하여 그 인자 벡터와 모듈 검색 경로의 첫 번째 항목을 통제할 수 있습니다. 완전한 원격 코드 실행은 현재 관리 명령어에는 존재하지 않는 추가적인 import gadgets가 필요하므로, 입증된 영향력은 확인된 코드 실행이 아닌 프로세스 검색 경로 통제를 통한 인자 주입입니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.