CVE-2020-1734

lowPriorität · verfolgen · 30EPSS 0.005 · 40. PerzentilEURUUS

grimoire priorityP3 · Track

Exploitable?

—

no known exploitation

Likely / severe?

0.46% (40th) EPSS

CVSS 3.7 · low

Is it mine?

18 products

Prüfe deine Angriffsfläche

Who says so?

5 sources

cnnvd · enisa_euvd · fstec_bdu · osv

EPSS · bewertet 2026-10-27

A flaw was found in the pipe lookup plugin of ansible. Arbitrary commands can be run, when the pipe lookup plugin uses subprocess.Popen() with shell=True, by overwriting ansible facts and the variable is not escaped by quote plugin. An attacker could take advantage and run arbitrary commands by overwriting the ansible facts.

cvss

Technischer Schweregrad, 0–10. Eine Zeile je Quelle.

7.4

010

Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen⚠ Quellen uneinig · low–high · 3.7–7.4

v2.03.7lowAV:L/AC:H/Au:N/C:P/I:P/A:Pprimary · NVD / NIST USAusnutzbarkeit 1.9 · Auswirkung 6.4

v3.17.4highCVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Lprimary · NVD / NIST USAusnutzbarkeit 0.8 · Auswirkung 6

v3.17.4highAV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Lsecondary · FSTEC (BDU) RU

v3.17.4highCVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Lsecondary · ENISA EU

v3.17.4highCVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Lsecondary · secalert@redhat.com USAusnutzbarkeit 0.8 · Auswirkung 6

v3.17.4highCVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:Lsecondary · OSV

v3.16.8mediumCVSS:3.1/AV:L/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:L/E:Usecondary · CVSS-BT (t0sche)

schwächen

Die CWE-Schwächeklassen, zu denen dies gehört.

CWE-78USCWE-78USCWE-78US

betroffene Produkte (18)

Betroffene Produkte und Versionsbereiche.

Red Hat Ansible≤ n/aenisa_euvdEU
Red Hat Inc. Ansible≤ 2.7.16fstec_bduRU
Red Hat Inc. Ansible≤ 2.9.6fstec_bduRU
Red Hat Inc. Ansible≤ 2.8.10fstec_bduRU
Red Hat Inc. Ansible Tower≤ 3.3.5fstec_bduRU
Red Hat Inc. Red Hat OpenStack Platform≤ 10.0fstec_bduRU
Red Hat Inc. Red Hat OpenStack Platform≤ 13.0fstec_bduRU
redhat ansible engine≤ 2.7.16nvdUScpe:2.3:a:redhat:ansible_engine:*:*:*:*:*:*:*:*
redhat ansible engine= 2.8.8nvdUScpe:2.3:a:redhat:ansible_engine:*:*:*:*:*:*:*:*
redhat ansible engine= 2.9.5nvdUScpe:2.3:a:redhat:ansible_engine:*:*:*:*:*:*:*:*
redhat ansible tower≤ 3.3.4nvdUScpe:2.3:a:redhat:ansible_tower:*:*:*:*:*:*:*:*
redhat ansible tower= 3.4.5nvdUScpe:2.3:a:redhat:ansible_tower:*:*:*:*:*:*:*:*
redhat ansible tower= 3.5.5nvdUScpe:2.3:a:redhat:ansible_tower:*:*:*:*:*:*:*:*
redhat ansible tower= 3.6.3nvdUScpe:2.3:a:redhat:ansible_tower:*:*:*:*:*:*:*:*
PyPI ansible< 2.7.17osvUSpkg:pypi/ansible
PyPI ansible< 2.8.13osvUSpkg:pypi/ansible
PyPI ansible2.10.0a1 → 2.10.0rc1osvUSpkg:pypi/ansible
PyPI ansible2.9.0a1 → 2.9.11osvUSpkg:pypi/ansible

Advisories (2)

Hersteller- und Ökosystem-Meldungen dazu.

GHSA-h39q-95q5-9jfpOS Command Injection in ansible2022-02-09ghsa · osvUS
A flaw was found in the pipe lookup plugin of ansible. Arbitrary commands can be run, when the pipe lookup plugin uses `subprocess.Popen()` with `shell=True`, by overwriting ansible facts and the variable is not escaped by quote plugin. An attacker could take advantage and run arbitrary commands by overwriting the ansible facts.
PYSEC-2020-62020-03-03vendor · osvUS
A flaw was found in the pipe lookup plugin of ansible. Arbitrary commands can be run, when the pipe lookup plugin uses subprocess.Popen() with shell=True, by overwriting ansible facts and the variable is not escaped by quote plugin. An attacker could take advantage and run arbitrary commands by overwriting the ansible facts.

auch bekannt als (7)

Weitere Namen und Kennungen dieser Entität.

quellen

Welche Quellen diesen Datensatz belegen und wann.

cnnvd enisa_euvd fstec_bdu osv nvd NVD CVE.org MITRE

veröffentlicht 2020-03-03geändert 2026-06-17

Referenzen (14)

Externe Belege — Patches, Meldungen, Analysen.

scry

Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.

Kostenloser Scan