Bipin Saud

**Nome do Software Vulnerável e Versões Afetadas** Ansible (versões afetadas não especificadas) **Description** O módulo `plugins/modules/keyring info.py` recupera senhas de keyrings nativos do sistema operacional, como GNOME Keyring, macOS Keychain e Windows Credential Manager. O problema ocorre porque o módulo insere a senha recuperada diretamente na variável `passphrase` dentro do resultado, sem supressão de saída ou proteção `no log`. Consequentemente, dados sensíveis, como senhas mestras, senhas de chaves SSH e credenciais de serviço, podem ser expostos na saída do Ansible, armazenados em backends de cache de fatos, como Redis, arquivos JSON ou memcached, e registrados em logs de tarefas do AWX ou Tower. **Recommendations** Atualize o módulo `plugins/modules/keyring info.py` para utilizar `module.exit json(changed=False, passphrase=passphrase, ansible no log=True)` para garantir a supressão da saída. Como medida de mitigação temporária, os usuários devem utilizar `no log: true` no nível da tarefa ao utilizar este módulo.

**Nome do Software Vulnerável e Versões Afetadas** Ansible (versões afetadas não especificadas) **Descrição** No módulo `plugins/modules/nexmo.py`, as variáveis `api key` e `api secret` são marcadas como `no log=True` para evitar que sejam registradas em logs. No entanto, essas credenciais são codificadas via URL e incluídas como parâmetros de consulta em uma requisição GET, ignorando a proteção. Isso leva à exposição de credenciais sensíveis em saídas detalhadas (verbose), logs de acesso ao servidor, proxies HTTP, SIEM, ferramentas de inspeção de rede e logs de depuração de rede do AWX/Automation Controller. **Recomendações** Altere o método de requisição para POST e inclua as variáveis `api key` e `api secret` no corpo da requisição em vez da URL.