CVE-2014-4966

RCE w Ansible poprzez wstrzyknięcie szablonów Jinja2

CVSS 9.8v3.1pub. 2020-02-18upd. 2024-11-21

Ansible w wersji przed 1.6.7 nie filtruje poprawnie danych inwentaryzacji ani danych zdalnych zawierających sekwencje znaków charakterystyczne dla silnika szablonów Jinja2, co umożliwia zdalnemu atakującemu wykonanie dowolnego kodu. Podatność jest krytyczna, ponieważ nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substrings, which allows remote attackers to execute arbitrary code via (1) crafted lookup('pipe') calls or (2) crafted Jinja2 data.

🤖 Analiza AI

Jak działa

Aplikacja nie blokuje danych inwentaryzacji zawierających ciągi znaków '{{' oraz 'lookup', a także zdalnych danych zawierających '{{', które są interpretowane przez silnik szablonów Jinja2. Atakujący może dostarczyć spreparowane wywołania lookup('pipe') lub złośliwe dane Jinja2, które zostaną przetworzone przez Ansible jako polecenia systemowe lub wyrażenia szablonu. Prowadzi to do wstrzyknięcia kodu (CWE-74) i jego wykonania w kontekście procesu Ansible na serwerze zarządzającym.

Skutki

Atakujący może wykonać dowolny kod na hoście uruchamiającym Ansible, co może skutkować pełnym przejęciem kontroli nad systemem zarządzającym, ujawnieniem poufnych danych konfiguracyjnych oraz naruszeniem integralności zarządzanej infrastruktury.

Mitygacja

Należy zaktualizować Ansible do wersji 1.6.7 lub nowszej. Producent udostępnił poprawkę w ramach commitu dostępnego w repozytorium projektu na GitHub (commit 62a1295). Należy zastosować patche dostępne u producenta zgodnie z referencjami.

Kogo dotyczy

Red Hat Ansible w wersjach przed 1.6.7

Uwagi

Podatność została ujawniona przez organizację oCERT (advisory ocert-2014-004). Mimo daty publikacji CVE wynoszącej 2020-02-18, problem dotyczy wersji Ansible sprzed 1.6.7, co wskazuje na znaczne opóźnienie pomiędzy odkryciem a formalną rejestracją wpisu CVE.