CVE-2026-84470
mediumPriorität · verfolgen · 26OT-Risiko · erhöhtEPSS 0.003 · 23. PerzentilDEUSEPSS · bewertet 2026-10-29
A flaw was found in Ansible Automation Platform's automation-controller (AWX). The Bulk Job Launch API (POST /api/v2/bulk/job_launch/) authorizes the requested instance_groups with only a read-level permission check, whereas the standard single-job launch path requires use-level permission on the same field. A principal that holds read (but not use) permission on an instance group -- for example the built-in read-only System Auditor role -- together with execute permission on a job template can launch bulk jobs onto instance groups they are not authorized to use, bypassing execution-placement isolation.
cvss
Technischer Schweregrad, 0–10. Eine Zeile je Quelle.
Basiswert 0–10 · höher = schwerwiegender · Vektor überfahren zum Auflösen
SSVC
Eine Handlungsentscheidung — aus Ausnutzung und Auswirkung.
schwächen
Die CWE-Schwächeklassen, zu denen dies gehört.
betroffene Produkte (4)
Betroffene Produkte und Versionsbereiche.
- Red Hat Ansible Automation Platform 2.4alle Versionencert_bundDEcpe:/a:redhat:ansible_automation_platform:2.4
- Red Hat Ansible Automation Platform 2.7alle Versionencert_bundDEcpe:/a:redhat:ansible_automation_platform:2.7
Advisories (1)
Hersteller- und Ökosystem-Meldungen dazu.
- WID-SEC-W-2026-3555Red Hat Ansible Automation Platform (automation-controller): Mehrere SchwachstellenDeutsch2026-09-23csaf · cert_bundDE
Ein Angreifer kann mehrere Schwachstellen in Red Hat Ansible Automation Platform ausnutzen, um seine Privilegien zu erhöhen, beliebigen Code auszuführen, Sicherheitsmaßnahmen zu umgehen, Daten zu manipulieren oder offenzulegen und einen Denial-of-Service-Zustand herbeizuführen.
quellen
Welche Quellen diesen Datensatz belegen und wann.
Referenzen (2) nvd
Externe Belege — Patches, Meldungen, Analysen.
Angreifer nutzen Schwachstellen wie diese gegen im Internet exponierte Dienste aus. Sehen Sie mit einem kostenlosen Passiv-Scan, was exponiert ist.
Kostenloser Scan