GHSA-wqq5-c89p-3wc3

ghsaUSosv

Ansible Arbitrary Code Execution

Advisory ansehen veröffentlicht 2022-05-17Lizenz: CC-BY-4.0

Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substrings, which allows remote attackers to execute arbitrary code via (1) crafted lookup('pipe') calls or (2) crafted Jinja2 data.

beschreibt (1)

Zugehörige CVEs.

ID	Schweregrad	EPSS	ausnutzbar	veröffentlicht
CVE-2014-4966US	critical9.8	3.55% (89th)	—	2020-02-18
Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substrings, which allows remote attackers to exec…

Referenzen

Externe Belege — Patches, Meldungen, Analysen.

http://www.ocert.org/advisories/ocert-2014-004.htmlWEB
https://github.com/ansible/ansible/commit/62a1295a3e08cb6c3e9f1b2a1e6e5dcaeab32527WEB
https://github.com/pypa/advisory-database/tree/main/vulns/ansible/PYSEC-2020-204.yamlWEB
https://nvd.nist.gov/vuln/detail/CVE-2014-4966ADVISORY

scry

Advisories wie diese benennen die exponierten Produkte, die Angreifer auf Ihrer Angriffsfläche ins Visier nehmen. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan