Elijah Delee

A cleartext storage flaw was found in the AAP Gateway Operator. When reconciling an AutomationController, the operator reads the protected resource-server Secret (Secret/<aap-name>-resource-server, key controller resource server secret) and copies its plaintext value into the generated AutomationController custom resource under spec.extra settings (RESOURCE SERVER.SECRET KEY). Although the operator uses no log to keep the value out of its own logs, serializing it into the custom resource exposes it to any principal able to read the AutomationController CR without permission to read the backing Kubernetes Secret, breaking the expected OpenShift RBAC separation between the two resources. The value may also propagate into Kubernetes API/etcd storage, GitOps and Argo diffs and history, rendered manifests, support bundles, and audit data. The resource-server secret is intended for trusted Gateway-to-Controller service authentication, and its disclosure may allow a user to impersonate a trusted Controller service and reach privileged service-index APIs.

Existe uma falha na Event Stream API do Event-Driven Ansible (EDA) que pode levar à exposição de credenciais sensíveis do cliente e cabeçalhos de infraestrutura interna. Essa exposição ocorre por meio do campo `test headers` quando um stream de eventos está em modo de teste. As consequências potenciais incluem o vazamento de detalhes da infraestrutura interna, divulgação acidental de credenciais de usuário ou do sistema, possível escalonamento de privilégios caso tokens de alto valor sejam expostos e exposição persistente de dados sensíveis a usuários com acesso de leitura ao stream de eventos. O endpoint da API envolvido é a Event Stream API. O parâmetro vulnerável é `test headers`.

Existe uma falha no Event-Driven Ansible (EDA) Event Streams que permite a um usuário autenticado acessar cabeçalhos sensíveis da infraestrutura interna, como `X-Trusted-Proxy` e `X-Envoy-*`, e URLs de fluxo de eventos por meio de solicitações e modelos de trabalho especialmente elaborados. Um invasor poderia potencialmente explorar essa falha exfiltrando esses cabeçalhos para falsificar solicitações confiáveis, escalar privilégios ou injetar eventos maliciosos. A vulnerabilidade envolve a manipulação de solicitações e modelos de trabalho para revelar informações internas.

A flaw exists in the route creation component of the Ansible Automation Platform Gateway. This allows for credential theft through the creation of misleading routes utilizing a double-slash (//) prefix within the `gateway path`. A malicious administrator, or one susceptible to social engineering, can configure a deceptive route to intercept and steal user credentials, potentially establishing persistent access or a backdoor, even after their permissions are removed. The vulnerability involves creating routes with a double-slash (//) prefix in the `gateway path` to intercept credentials.

Foi identificada uma falha no Ansible aap-gateway, na qual solicitações simultâneas manipuladas pelo serviço grpc do gateway podem resultar em problemas de concorrência devido a condições de corrida nas solicitações contra o proxy. Esse problema potencialmente permite que um usuário com menos privilégios obtenha o JWT de um usuário com mais privilégios, possibilitando o comprometimento do servidor. Uma sessão de usuário ou dados confidenciais podem ficar vulneráveis.