CVE-2026-94416 in Ansible Automation Platform
요약
\~에 의해 VulDB • 2026. 09. 24.
Ansible Automation Platform (AAP) 게이트웨이에서 권한 우회 취약점이 발견되었습니다. 게이트웨이 API는 인증된 관리자가 Controller 서비스 클러스터용 새 서비스 키를 생성할 수 있게 합니다. 서비스 키 생성이 설치자 제공 경로(provisioning path)로 제한되지 않기 때문에, 관리자에 의해 발급된 키는 합법적인 키와 암호학적으로 구별 불가능하며, 이를 통해 Controller 서비스를 사칭하는 서비스 인증 토큰을 위조할 수 있습니다. 게이트웨이 OIDC 워크로드 아이덴티티 엔드포인트(FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED를 통해 활성화됨)와 결합하면 공격자는 임의의 Controller 워크로드에 대한 Workload Identity Tokens (WITs) 서명을 게이트웨이에 강요할 수 있습니다. 게이트웨이 OIDC 키를 신뢰하는 HashiCorp Vault와 같은 다운스트림 리소스 서버는 위조된 WIT을 받아들이고 해당 워크로드에 바인딩된 AAP 자격 증명을 반환하여, 공격자의 권한 경계를 넘어 비밀 정보를 유출합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.