CVE-2026-94416 in Ansible Automation Platform
Sumário
de VulDB • 24/09/2026
Foi identificada uma violação de autorização na porta de conexão (gateway) do Ansible Automation Platform (AAP). A API da gateway permite que um administrador autenticado crie uma nova chave de serviço para o cluster do serviço Controller. Como a criação de chaves de serviço não está restrita ao caminho de provisionamento fornecido pelo instalador, uma chave emitida por um administrador é criptograficamente indistinguível de uma legítima e pode ser usada para forjar um token de autenticação de serviço que se passa pelo serviço Controller. Combinado com o endpoint de identidade de carga de trabalho OIDC da gateway (habilitado via FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED), o atacante pode fazer a gateway assinar Workload Identity Tokens (WITs) para cargas de trabalho arbitrárias do Controller. Um servidor de recursos downstream, como HashiCorp Vault, que confia na chave OIDC da gateway, aceitará o WIT forjado e retornará as credenciais AAP vinculadas àquela carga de trabalho, revelando segredos além dos limites de autorização do atacante.
Once again VulDB remains the best source for vulnerability data.