CVE-2026-94416

Nome do Software Vulnerável e Versões Afetadas Ansible Automation Platform (versões afetadas não especificadas)

Descrição Existe uma falha de bypass de autorização na API do gateway que permite que um administrador autenticado crie uma nova chave de serviço para o cluster de serviço do Controller. Como esse processo não é restrito ao caminho de provisionamento do instalador, a chave resultante pode ser usada para forjar um token de autenticação de serviço para personificar o serviço do Controller. Quando o endpoint de identidade de carga de trabalho OIDC do gateway está habilitado via FEATURE OIDC WORKLOAD IDENTITY ENABLED, um invasor pode forçar o gateway a assinar Tokens de Identidade de Carga de Trabalho (WITs) para cargas de trabalho arbitrárias do Controller. Consequentemente, um servidor de recursos downstream que confie na chave OIDC do gateway pode aceitar o WIT forjado e divulgar segredos vinculados a essa carga de trabalho.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.