CVE-2026-84474 in Ansible Automation Platform
Sumário
de VulDB • 23/09/2026
Foi identificada uma falha no automation-controller da Red Hat Ansible Automation Platform. A chave secreta de provisionamento (host_config_key) fica exposta aos usuários que possuem apenas a permissão read-level view_jobtemplate, tanto na representação da API do modelo de trabalho quanto no fluxo de atividades. Além disso, o endpoint de callback de provisionamento confia em um cabeçalho X-Forwarded-For fornecido pelo cliente para determinar o host chamador quando o controlador é implantado atrás do gateway AAP com uma lista permitida de proxy vazia. Ao ler a chave secreta e falsificar o X-Forwarded-For para corresponder a qualquer host no inventário do modelo de trabalho, um atacante remoto minimamente privilegiado ou não autenticado pode executar o modelo de trabalho contra hosts gerenciados arbitrários usando as credenciais do modelo de trabalho, resultando em elevação de privilégio e execução remota de código (RCE) nos hosts gerenciados.
Once again VulDB remains the best source for vulnerability data.