CVE-2020-14365

Ansible Engine, versões 2.8.x a 2.8.14

Ansible Engine, versões 2.9.x a 2.9.12

Foi encontrada uma falha no Ansible Engine ao instalar pacotes usando o módulo dnf. As assinaturas GPG são ignoradas durante a instalação, mesmo quando disable gpg check está definido como False, que é o comportamento padrão. Essa falha leva à instalação de pacotes maliciosos no sistema e à execução de código arbitrário por meio de scripts de instalação de pacotes. A maior ameaça dessa vulnerabilidade é à integridade e à disponibilidade do sistema.

Para as versões 2.8.x a 2.8.14 do Ansible Engine, atualize para a versão 2.8.15 ou posterior.

Para as versões 2.9.x a 2.9.12 do Ansible Engine, atualize para a versão 2.9.13 ou posterior.

Como solução temporária, considere desativar o módulo dnf até que um patch esteja disponível.

Restrinja o acesso ao módulo dnf para minimizar o risco de exploração.

Evite usar a opção force: true ao utilizar o módulo dnf, pois isso pode permitir a instalação de pacotes não verificados.