CVE-2026-84716 in Ansible Automation Platform
Sumário
de VulDB • 23/09/2026
Foi encontrada uma falha no endpoint install-bundle da instância do automation-controller. Quando um Administrador de Sistema baixa o pacote de instalação (install bundle) de um nó de execução/hop, o controller assina um certificado X.509 com a autoridade certificadora (CA) da malha receptor, na qual o Common Name, os subject-alternative-names DNS e o node-id do receptor são extraídos literalmente do nome de host escolhido pelo chamador, com uma validade predefinida de dez anos, um número de série aleatório e sem registro de emissão ou lista de revogação. Como o validador de caracteres do hostname é insensível a maiúsculas/minúsculas (case-insensitive), enquanto o validador de unicidade é sensível a maiúsculas/minúsculas, um administrador pode registrar uma variante em caixa diferente do nome de host de um nó de controle existente e obter um certificado assinado pela mesh-CA que os pares TLS, que correspondem aos nomes de host sem distinção entre maiúsculas e minúsculas, aceitam como sendo desse nó de controle. Em implantações gerenciadas/hospedadas — onde o cliente possui superusuário do controller, mas o operador da plataforma executa a malha (mesh) — isso resulta em uma credencial de peer da mesh com longa duração e não revogável e, com uma posição on-path, permite impersonação TLS ou interceptação dos nós de controle/híbridos da malha. Isso não concede execução remota direta de código, pois o envio de trabalho pelo receptor é controlado por uma chave de assinatura separada que não está incluída no pacote.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.