CVE-2017-7481

Ansible: wstrzyknięcie kodu przez niezabezpieczone wyniki lookup-plugin

CVSS 9.8v3.1pub. 2018-07-19upd. 2024-11-21

Ansible w wersjach przed 2.3.1.0 i 2.4.0.0 nieprawidłowo oznaczał wyniki wywołań lookup-plugin jako bezpieczne, co umożliwiało wstrzyknięcie kodu przez silnik szablonów jinja2. Podatność jest oceniana jako krytyczna (CVSS 9.8) i może prowadzić do zdalnego wykonania kodu (RCE).

▸ Pokaż oryginał (EN)

Ansible before versions 2.3.1.0 and 2.4.0.0 fails to properly mark lookup-plugin results as unsafe. If an attacker could control the results of lookup() calls, they could inject Unicode strings to be parsed by the jinja2 templating system, resulting in code execution. By default, the jinja2 templating language is now marked as 'unsafe' and is not evaluated.

🤖 Analiza AI

Jak działa

Ansible nie oznaczał wyników zwracanych przez lookup-plugin jako 'unsafe', przez co były one przekazywane do silnika szablonów jinja2 i poddawane dalszemu przetwarzaniu. Atakujący, który mógł kontrolować wyniki wywołań lookup(), był w stanie wstrzyknąć odpowiednio spreparowane ciągi znaków Unicode, które jinja2 interpretował jako kod do wykonania. W efekcie możliwe było wykonanie dowolnego kodu w kontekście procesu Ansible. Poprawka polega na oznaczeniu wyników szablonów jinja2 jako 'unsafe' domyślnie, co zapobiega ich ponownemu ewaluowaniu.

Skutki

Atakujący zdolny do kontrolowania wyników lookup() może doprowadzić do zdalnego wykonania kodu (RCE) na systemie, na którym działa Ansible, uzyskując potencjalnie pełen dostęp do zarządzanej infrastruktury.

Mitygacja

Należy zaktualizować Ansible do wersji 2.3.1.0 lub 2.4.0.0 i nowszych. Użytkownicy produktów Red Hat powinni zastosować erratę zgodnie z referencjami producenta: RHSA-2017:1244, RHSA-2017:1334, RHSA-2017:1476, RHSA-2017:1499.

Kogo dotyczy

Ansible w wersjach przed 2.3.1.0 oraz przed 2.4.0.0; problem dotyka także produktów Red Hat: OpenShift Container Platform oraz Red Hat OpenStack korzystających z podatnych wersji Ansible.