BDU:2019-00506 (CVE-2018-10875)

Уязвимость системы управления конфигурациями Ansible, связанная с отсутствием контроля пути поиска конфигурационного файла ansible.cfg, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2019-02-07

Описание

Уязвимость системы управления конфигурациями Ansible связана с чтением файла ansible.cfg из рабочего каталога, который может быть переназначен, чтобы он указывал на путь плагина или модуля, находящегося под контролем нарушителя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.6 «Смоленск»)Ansible (от 2.4.0 до 2.4.6)Ansible (от 2.5.0 до 2.5.6)Ansible (от 2.6.0 до 2.6.1)

Способ устранения

Для Ansible:
Обновление программного обеспечения до 2.6.1 или более поздней версии

Для Astra Linux:
Обновление программного обеспечения (пакета ansible) до 2.6.1+dfsg-1 или более поздней версии

Оценка CVSS

Балл	7.5 — критическая опасность

Источники и патчи

https://bugzilla.redhat.com/show_bug.cgi?id=1596533 https://nvd.nist.gov/vuln/detail/CVE-2018-10875 https://security-tracker.debian.org/tracker/CVE-2018-10875

Проверьте безопасность своего сайта и почты → Полная проверка домена