В платформе автоматизации Red Hat Ansible, Event-Driven Ansible (EDA) Event Stream API, обнаружена уязвимость. Эта уязвимость позволяет раскрыть конфиденциальные учетные данные клиента и заголовки внутренней инфраструктуры через поле test_headers, когда поток событий находится в тестовом режиме. Возможный результат включает в себя утечку сведений о внутренней инфраструктуре, случайное раскрытие учетных данных пользователя или системы, повышение привилегий в случае раскрытия ценных токенов и постоянное раскрытие конфиденциальных данных всем пользователям, имеющим доступ на чтение в потоке событий.
Показать оригинальное описание (EN)
A flaw was found in the Red Hat Ansible Automation Platform, Event-Driven Ansible (EDA) Event Stream API. This vulnerability allows exposure of sensitive client credentials and internal infrastructure headers via the test_headers field when an event stream is in test mode. The possible outcome includes leakage of internal infrastructure details, accidental disclosure of user or system credentials, privilege escalation if high-value tokens are exposed, and persistent sensitive data exposure to all users with read access on the event stream.
Характеристики атаки
Последствия
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты 7
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Redhat Ansible_Automation_Platform
cpe:2.3:a:redhat:ansible_automation_platform:*:*:*:*:*:*:*:*
|
— |
2.6
|
|
Redhat Ansible_Developer
cpe:2.3:a:redhat:ansible_developer:1.2:*:*:*:*:*:*:*
|
— | — |
|
Redhat Ansible_Developer
cpe:2.3:a:redhat:ansible_developer:1.3:*:*:*:*:*:*:*
|
— | — |
|
Redhat Ansible_Inside
cpe:2.3:a:redhat:ansible_inside:1.3:*:*:*:*:*:*:*
|
— | — |
|
Redhat Ansible_Inside
cpe:2.3:a:redhat:ansible_inside:1.4:*:*:*:*:*:*:*
|
— | — |
|
Redhat Enterprise_Linux
cpe:2.3:o:redhat:enterprise_linux:8.0:*:*:*:*:*:*:*
|
— | — |
|
Redhat Enterprise_Linux
cpe:2.3:o:redhat:enterprise_linux:9.0:*:*:*:*:*:*:*
|
— | — |