BDU:2019-00889 (CVE-2018-16876)

Уязвимость системы управления конфигурациями Ansible, связанная c раскрытием конфиденциальных данных в режиме vvv+, позволяющая нарушителю получить несанкционированный доступ к информации

Опубликовано: 2019-03-06

Описание

Уязвимость системы управления конфигурациями Ansible связана c раскрытием конфиденциальных данных в режиме повышенной вербальности vvv+ без включенной опции no_log. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить несанкционированный доступ к информации

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Debian GNU/Linux (9)OpenSUSE Leap (42.3)Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Ansible (от 2.7.0 до 2.7.5)Ansible (от 2.6.0 до 2.6.11)Ansible (от 2.5.0 до 2.5.14)Ubuntu (19.04)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Debian GNU/Linux (8)SUSE Package Hub for SUSE Linux Enterprise (12)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)

Способ устранения

Использование рекомендаций:
Для Ansible:

Обновление программного обеспечения до 2.7.5 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета ansible) до 2.2.1.0-2+deb9u1 или более поздней версии

Для Astra Linux:
Обновление программного обеспечения (пакета ansible) до 2.2.1.0-2+deb9u1 или более поздней версии

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2018-16876/

Для Ubuntu:
https://usn.ubuntu.com/4072-1/

Оценка CVSS

Балл	5 — высокая опасность

Источники и патчи

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-16876 https://github.com/ansible/ansible/pull/49569 https://github.com/ansible/ansible/commit/4c6d714aefb05366cb329e139214c89ebb364899 https://nvd.nist.gov/vuln/detail/CVE-2018-16876 https://security-tracker.debian.org/tracker/CVE-2018-16876 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16 https://www.suse.com/security/cve/CVE-2018-16876/https://usn.ubuntu.com/4072-1/

Проверьте безопасность своего сайта и почты → Полная проверка домена