CVE-2017-7550

Ansible jenkins_plugin ujawnia hasła w logach zdalnych hostów

CVSS 9.8v3.1pub. 2017-11-21upd. 2026-05-13

W module jenkins_plugin narzędzia Ansible wykryto podatność powodującą zapisywanie wrażliwych parametrów (w tym haseł) w logach zdalnych hostów. Błąd umożliwia nieuprawniony dostęp do poufnych danych uwierzytelniających przez zdalnych atakujących.

▸ Pokaż oryginał (EN)

A flaw was found in the way Ansible (2.3.x before 2.3.3, and 2.4.x before 2.4.1) passed certain parameters to the jenkins_plugin module. Remote attackers could use this flaw to expose sensitive information from a remote host's logs. This flaw was fixed by not allowing passwords to be specified in the "params" argument, and noting this in the module documentation.

🤖 Analiza AI

Jak działa

Ansible nieprawidłowo obsługiwał przekazywanie parametrów do modułu jenkins_plugin — hasła podawane w argumencie 'params' były logowane w jawnej postaci w logach zdalnego hosta. Zdalny atakujący z dostępem do tych logów mógł odczytać poufne dane. Problem został usunięty poprzez zablokowanie możliwości przekazywania haseł przez argument 'params' oraz odpowiednią aktualizację dokumentacji modułu.

Skutki

Atakujący może uzyskać dostęp do haseł i innych wrażliwych parametrów zapisanych w logach zdalnych hostów, co może prowadzić do dalszego przejęcia kontroli nad infrastrukturą CI/CD.

Mitygacja

Należy zaktualizować Ansible do wersji 2.3.3 lub nowszej (dla gałęzi 2.3.x) albo do wersji 2.4.1 lub nowszej (dla gałęzi 2.4.x). Patche dostępne są również w ramach errat Red Hat: RHSA-2017:2966. Dodatkowo należy przejrzeć istniejące logi pod kątem ewentualnego wycieku haseł i wymusić ich rotację.