Vipul Nair

Foi encontrada uma falha na plataforma de automação Ansible, relacionada a uma conexão WebSocket insegura usada durante a instalação a partir do servidor EDA do rulebook do Ansible. Esse problema poderia permitir que um invasor com acesso a qualquer máquina no bloco CIDR baixasse todos os dados do rulebook a partir do WebSocket, resultando na perda de confidencialidade e integridade do sistema. A vulnerabilidade também está relacionada à falta de verificação de origem nos WebSockets devido a uma restrição incorreta de canal, o que poderia permitir que um invasor remoto obtivesse acesso não autorizado a informações protegidas.

Foi identificada uma falha no Quarkus. Quando um endpoint Quarkus RestEasy Classic ou Reactive JAX-RS tem seus métodos declarados na classe Java abstrata ou personalizados por extensões do Quarkus usando o processador de anotações, a autorização desses métodos não será aplicada se estiver habilitada pelas propriedades `quarkus.security.jaxrs.deny-unannotated-endpoints` ou `quarkus.security.jaxrs.default-roles-allowed`.

A template injection flaw was found in Ansible where a user's controller internal templating operations may remove the unsafe designation from template data. This issue could allow an attacker to use a specially crafted file to introduce templating injection when supplying templating data. The flaw is related to incorrect management of code generation when processing templates, which may allow an attacker to execute arbitrary code.

An HTML injection flaw was found in the user interface settings of the Controller. This flaw allows an attacker to capture credentials by creating a custom login page by injecting HTML, resulting in a complete compromise.

A logic flaw exists in the Ansible Automation platform. Whenever a private project is created with incorrect credentials, they are logged in plaintext. This flaw allows an attacker to retrieve the credentials from the log, resulting in the loss of confidentiality, integrity, and availability.

The issue is related to a flaw in the ec2 key module of the Ansible Automation Platform, which is connected to shortcomings in the authorization procedure. This flaw allows an attacker to obtain access to confidential data, compromise their integrity, and cause a denial of service. Specifically, when creating a new keypair, the ec2 key module prints out the private key directly to the standard output, enabling an attacker to fetch those keys from the log files and compromise the system's confidentiality, integrity, and availability.

An arithmetic overflow flaw was found in Satellite when creating a new personal access token. This flaw allows an attacker to create personal access tokens that are valid indefinitely, resulting in damage to the system's integrity.

O problema diz respeito a um ataque de script entre sites (XSS) na interface do usuário do controlador de automação. Especificamente, o nome do projeto está suscetível a injeção de XSS, o que pode levar a problemas de segurança.

Foi identificada uma falha no ansible-tower em que a instalação padrão está vulnerável a uma fuga do isolamento de tarefas. Essa falha permite que um invasor eleve seus privilégios de um usuário com privilégios baixos para um usuário AWX a partir de fora do ambiente isolado.

Foi identificada uma falha no ansible-runner, na qual um escapamento inadequado do comando do shell, ao chamar o método `ansible runner.interface.run command`, pode fazer com que os parâmetros sejam executados como um comando do shell do host. Isso poderia permitir que um desenvolvedor escrevesse, sem intenção, código que fosse executado no host em vez de no ambiente virtual.

Foi identificada uma falha de escalonamento de privilégios na Ansible Automation Platform. Essa falha permite que um usuário remoto autenticado com permissões `change user` modifique as configurações da conta de superusuário e também remova os privilégios de superusuário.