CVE-2026-84706 in Ansible Automation Platform
Сводка
по VulDB • 23.09.2026
В Ansible Automation Platform (automation-controller) обнаружена уязвимость. Инжектор переменных окружения для пользовательских типов учетных данных проверяет имена переменных по списку запрещенных значений (проверка префикса ANSIBLE_* и фиксированный ENV_BLOCKLIST), который не включает переменные загрузчиков, позволяющие перехватить процесс выполнения, такие как BASH_ENV, ENV, LD_PRELOAD, LD_LIBRARY_PATH, PYTHONSTARTUP и GIT_SSH_COMMAND. В сочетании с инжектором файлов учетных данных привилегированный пользователь может записать скрипт, контролируемый злоумышленником, в среду выполнения и указать переменную BASH_ENV на этот файл, что приведет к выполнению произвольного кода внутри контейнера среды выполнения для любого задания, использующего учетные данные данного типа.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.