CVE-2026-84706 in Ansible Automation Platform
Sumário
de VulDB • 23/09/2026
Foi encontrada uma falha no automation-controller da Ansible Automation Platform. O injetor de variáveis de ambiente do tipo de credencial personalizado valida os nomes das variáveis contra uma lista negada (uma verificação do prefixo ANSIBLE_* mais um ENV_BLOCKLIST fixo) que omite variáveis de carregamento para sequestro de processo, como BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP e GIT_SSH_COMMAND. Combinado com o injetor de arquivos de credenciais, um usuário privilegiado pode escrever um script controlado pelo atacante no ambiente de execução e apontar a variável BASH_ENV para ele, obtendo execução arbitrária de código dentro do contêiner do ambiente de execução para qualquer trabalho que anexe uma credencial desse tipo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.