Zaloguj się
Deutsch English Español Polski
Średnia

Code Injection, Race Condition, and Execution with Unnecessary Privileges in Ansible

  • Ujawniono: 24.03.2020
  • Aktualizacja: 11.10.2026 12:18

A flaw was found in Ansible Engine, all versions 2.7.x, 2.8.x and 2.9.x prior to 2.7.17, 2.8.11, and 2.9.7 respectively, when using ansible_facts as a subkey of itself and promoting it to a variable when inject is enabled, overwriting the ansible_facts after the clean. An attacker could take advantage of this by altering the ansible_facts, such as ansible_hosts, users and any other key data which would lead into privilege escalation or code injection.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) ansible >= 2.7.0a1, < 2.7.17, >= 2.8.0a1, < 2.8.11, >= 2.9.0a1, < 2.9.7 2.7.17, 2.8.11, 2.9.7

Odnośniki

Ocena CVSS 7.1/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Słabość (CWE)
CWE-250, CWE-362, CWE-862, CWE-94
Platforma
Python (PyPI)
Paczka
ansible
Ujawniono
24.03.2020
Aktualizacja
11.10.2026 12:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2020-207 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-p62g-jhg6-v3rq - CC BY 4.0

Historia podatności: ansible

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (68) w archiwum
Wszystkich wpisów
68
Pierwsza → ostatnia
09.2013 12.2025
Bez poprawki
2
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 9
  • Wysoka 24
  • Średnia 27
  • Niska 6
  • Nieoceniona 2

Ujawnienia w latach

wcześniej: 4

Istotność:
  1. Ansible leaks password to logs
    Wysoka · 7.5 CVE-2022-3697 >= 2.5.0, < 7.0.0 7.0.0
  2. Improper Input Validation and Command Injection in Ansible
    Wysoka · 7.1 CVE-2021-3583 < 2.9.23rc1, >= 2.10.0a1, < 2.10.11rc1, >= 2.11.0a1, < 2.11.2rc1 2.9.23rc1, 2.10.11rc1, 2.11.2rc1
  3. Insertion of Sensitive Information into Log File in ansible
    Wysoka · 5.5 CVE-2021-20178 < 2.9.18 2.9.18
  4. Ansible Exposes Sensitive Information
    Wysoka · 7.5 CVE-2021-20228 >= 2.10.0a1, < 2.10.6rc1, >= 2.9.0a1, < 2.9.18rc1, < 2.8.19rc1 2.10.6rc1, 2.9.18rc1, 2.8.19rc1
  5. OS Command Injection and Improper Input Validation in ansible
    Wysoka · 7.3 CVE-2019-14904 < 2.7.16, >= 2.8.0a1, < 2.8.8, >= 2.9.0a1, < 2.9.3 2.7.16, 2.8.8, 2.9.3
  6. Externally Controlled Reference to a Resource in Another Sphere, Improper Input Validation, and External Control of File Name or Path in Ansible
    Wysoka · 5.6 CVE-2019-14905 >= 2.7.0a1, < 2.7.16, >= 2.8.0a1, < 2.8.8, >= 2.9.0a1, < 2.9.3 2.7.16, 2.8.8, 2.9.3
  7. Code Injection, Race Condition, and Execution with Unnecessary Privileges in Ansible ten wpis
    Średnia · 7.1 CVE-2020-10684 >= 2.7.0a1, < 2.7.17, >= 2.8.0a1, < 2.8.11, >= 2.9.0a1, < 2.9.7 2.7.17, 2.8.11, 2.9.7
  8. Path Traversal in Ansible
    Wysoka · 7.8 CVE-2020-1737 >= 2.8.0a1, < 2.8.9, >= 2.9.0a1, < 2.9.6, < 2.7.17 2.8.9, 2.9.6, 2.7.17
  9. OS Command Injection in ansible
    Wysoka · 7.4 CVE-2020-1734 >= 2.10.0a1, < 2.10.0rc1, >= 2.9.0a1, < 2.9.11, < 2.8.13 2.10.0rc1, 2.9.11, 2.8.13
  10. The safe_eval function in Ansible before 1.5.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrary code via crafted instructions.
    Krytyczna · 9.8 CVE-2014-4657 < 1.5.4 1.5.4
  11. The safe_eval function in Ansible before 1.6.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrary code via crafted instructions. NOTE: this vulnerability ex
    Krytyczna · 9.8 CVE-2014-4678 < 1.6.4 1.6.4
  12. Multiple argument injection vulnerabilities in Ansible before 1.6.7 allow remote attackers to execute arbitrary code by leveraging access to an Ansible managed host and providing a crafted fact, as de
    Krytyczna · 9.8 CVE-2014-4967 < 1.6.7 1.6.7
  13. Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substrings, which allows remote attackers to execute arbitrary code v
    Krytyczna · 9.8 CVE-2014-4966 < 1.6.7 1.6.7
  14. Ansible prior to 1.5.4 mishandles the evaluation of some strings.
    Wysoka · 7.5 CVE-2014-2686 < 1.5.4 1.5.4
  15. ansible before versions 2.8.6, 2.7.14, 2.6.20 is vulnerable to a None
    Wysoka · 6.5 CVE-2019-14856 >= 2.6.0, < 2.6.20, >= 2.7.0, < 2.7.14, >= 2.8.0, < 2.8.6 2.6.20, 2.7.14, 2.8.6
  16. Exposure of Sensitive Information to an Unauthorized Actor in ansible
    Wysoka · 6.5 CVE-2019-10217 >= 2.8.0a1, < 2.8.4 2.8.4
  17. ansible-playbook -k and ansible cli tools, all versions 2.8.x before 2.8.4, all 2.7.x before 2.7.13 and all 2.6.x before 2.6.19, prompt passwords by expanding them from templates as they could contain
    Wysoka · 6.5 CVE-2019-10206 >= 2.6.0, < 2.6.19, >= 2.7.0, < 2.7.13, >= 2.8.0, < 2.8.4 2.6.19, 2.7.13, 2.8.4
  18. In Ansible, all Ansible Engine versions up to ansible-engine 2.8.5, ansible-engine 2.7.13, ansible-engine 2.6.19, were logging at the DEBUG level which lead to a disclosure of credentials if a plugin
    Wysoka · 7.8 CVE-2019-14846 < 2.6.20, >= 2.7.0, < 2.7.14, >= 2.8.0, < 2.8.6 2.6.20, 2.7.14, 2.8.6
  19. ansible before versions 2.5.14, 2.6.11, 2.7.5 is vulnerable to a information disclosure flaw in vvv+ mode with no_log on that can lead to leakage of sensible data.
    Wysoka · 5.3 CVE-2018-16876 >= 2.5.0, < 2.5.14, >= 2.6.0, < 2.6.11, >= 2.7.0, < 2.7.5 2.5.14, 2.6.11, 2.7.5
  20. Ansible "User" module leaks any data which is passed on as a parameter to ssh-keygen. This could lean in undesirable situations such as passphrases credentials passed as a parameter for the ssh-keygen
    Wysoka · 7.8 CVE-2018-16837 >= 2.7, < 2.7.1, >= 2.6, < 2.6.7, < 2.5.11 2.7.1, 2.6.7, 2.5.11
  21. Ansible apt_key module does not properly verify key fingerprint
    Wysoka · 7.5 CVE-2016-8614 < 2.2.0.0 2.2.0.0
  22. Ansible fails to properly sanitize fact variables sent from the Ansible controller
    Krytyczna · 9.1 CVE-2016-8628 < 2.2.0.0 2.2.0.0
  23. Ansible fails to properly mark lookup-plugin results as unsafe
    Krytyczna · 9.8 CVE-2017-7481 >= 2.3.0.0, < 2.3.1.0, < 2.1.6.0, >= 2.2.0.0, < 2.2.3.0 2.3.1.0, 2.1.6.0, 2.2.3.0
  24. A flaw was found in ansible. ansible.cfg is read from the current working directory which can be altered to make it point to a plugin or a module path under the control of an attacker, thus allowing t
    Wysoka · 7.8 CVE-2018-10875 >= 2.5, < 2.5.6, >= 2.4, < 2.4.6.0, >= 2.6, < 2.6.1 2.5.6, 2.4.6.0, 2.6.1
  25. Ansible exposes sensitive data in log files and on the terminal
    Wysoka · 5.9 CVE-2018-10855 >= 2.5.0a1, < 2.5.5, >= 2.4.0.0, < 2.4.5.0 2.5.5, 2.4.5.0
  26. In ansible it was found that inventory variables are loaded from current working directory when running ad-hoc command which are under attacker's control, allowing to run arbitrary code as a result.
    Wysoka · 7.8 CVE-2018-10874 < 2.4.6.0, >= 2.5, < 2.5.6, >= 2.6, < 2.6.1 2.4.6.0, 2.5.6, 2.6.1
  27. Ansible before version 2.3 has an input validation vulnerability in the handling of data sent from client systems. An attacker with control over a client system being managed by Ansible, and the abili
    Wysoka · 8.0 CVE-2017-7466 < 2.3.0.0 2.3.0.0
  28. Ansible fails to cache SSH host keys
    Krytyczna · 7.4 CVE-2013-2233 < 1.2.1 1.2.1
  29. Ansible is vulnerable to an improper input validation in Ansible's handling of data sent from client systems
    Krytyczna · 8.1 CVE-2016-9587 < 2.1.4.0, >= 2.2.0.0, < 2.2.1.0 2.1.4.0, 2.2.1.0
  30. A flaw was found in the way Ansible (2.3.x before 2.3.3, and 2.4.x before 2.4.1) passed certain parameters to the jenkins_plugin module. Remote attackers could use this flaw to expose sensitive inform
    Krytyczna · 9.8 CVE-2017-7550 >= 2.3.0.0, < 2.3.3.0, >= 2.4.0.0, < 2.4.1.0 2.3.3.0, 2.4.1.0
  31. The user module in ansible before 1.6.6 allows remote authenticated users to execute arbitrary commands.
    Wysoka · 8.8 CVE-2014-3498 < 1.6.6 1.6.6
  32. The chroot, jail, and zone connection plugins in ansible before 1.9.2 allow local users to escape a restricted environment via a symlink attack.
    Wysoka · 7.8 CVE-2015-6240 < 1.9.2 1.9.2
  33. Link Following in ansible
    Wysoka · 7.8 CVE-2016-3096 >= 2.0.0.0, < 2.0.2.0, < 1.9.6.1 2.0.2.0, 1.9.6.1
  34. Ansible does not verify that the server hostname matches a domain name in certificates
    Wysoka · 7.5 CVE-2015-3908 < 1.9.2 1.9.2

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.