PT-2020-5155
CVE-2020-1734
·
Publicado
2019-09-03
·
Atualizado
2026-11-06
Descrição por
CVSS 4.0
8.5
AltaMétricasAV:L/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L
Nome do software vulnerável e versões afetadas
Ansible (versões afetadas não especificadas)
Descrição
O problema está relacionado ao plugin pipe lookup do Ansible, no qual comandos arbitrários podem ser executados quando o plugin utiliza
subprocess.Popen() com shell=True, sobrescrevendo os fatos do Ansible. A variável não é escapada pelo plugin quote, permitindo que um invasor tire proveito e execute comandos arbitrários ao sobrescrever os fatos do Ansible. Isso poderia potencialmente permitir que um invasor elevasse seus privilégios e executasse código arbitrário.Recomendações
No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾