CVE-2020-10691

Versões 2.9.x do ansible-engine anteriores à 2.9.7

Foi encontrada uma falha de traversal de arquivos no ansible-engine ao executar a instalação do ansible-galaxy collection. Ao extrair um arquivo .tar.gz da coleção, o diretório é criado sem sanitizar o nome do arquivo. Um invasor poderia se aproveitar disso para sobrescrever qualquer arquivo dentro do sistema.

Para as versões 2.9.x anteriores à 2.9.7, atualize para a versão 2.9.7 ou posterior para resolver o problema. Como solução temporária, considere restringir o uso do comando ansible-galaxy collection install até que um patch seja aplicado. Evite extrair arquivos .tar.gz de coleções de fontes não confiáveis para minimizar o risco de exploração.