Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-00238

Опубликовано: 12 мая 2020
Источник: fstec
CVSS3: 5
CVSS2: 1.9
EPSS Низкий

Описание

Уязвимость системы управления конфигурациями Ansible связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным

Вендор

Сообщество свободного программного обеспечения
Red Hat Inc.
ООО «РусБИТех-Астра»
АО «ИВК»
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
Ansible
Ansible Tower
Astra Linux Special Edition
Альт 8 СП
ОСОН ОСнова Оnyx
Astra Linux Common Edition

Версия ПО

9 (Debian GNU/Linux)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
от 2.7.0 до 2.7.17 (Ansible)
от 3.5.0 до 3.5.5 включительно (Ansible Tower)
от 3.6.0 до 3.6.3 включительно (Ansible Tower)
1.7 (Astra Linux Special Edition)
от 3.3.5 до 3.4.5 включительно (Ansible Tower)
от 2.8.0 до 2.8.11 (Ansible)
от 2.9.0 до 2.9.7 (Ansible)
4.7 (Astra Linux Special Edition)
- (Альт 8 СП)
до 2.1 (ОСОН ОСнова Оnyx)
1.6 «Смоленск» (Astra Linux Common Edition)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «ИВК» Альт 8 СП -
ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 1,9)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5)

Возможные меры по устранению уязвимости

Для Ansible:
использование рекомендаций производителя: https://github.com/ansible/ansible/pull/67866
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-1746
Для Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47
Для ОСОН Основа:
Обновление программного обеспечения ansible до версии 2.7.7+dfsg-1+deb10u1
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС Astra Linux:
обновить пакет ansible до 2.7.7+dfsg-1+deb10u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 19%
0.00061
Низкий

5 Medium

CVSS3

1.9 Low

CVSS2

Связанные уязвимости

CVSS3: 5
ubuntu
больше 5 лет назад

A flaw was found in the Ansible Engine affecting Ansible Engine versions 2.7.x before 2.7.17 and 2.8.x before 2.8.11 and 2.9.x before 2.9.7 as well as Ansible Tower before and including versions 3.4.5 and 3.5.5 and 3.6.3 when the ldap_attr and ldap_entry community modules are used. The issue discloses the LDAP bind password to stdout or a log file if a playbook task is written using the bind_pw in the parameters field. The highest threat from this vulnerability is data confidentiality.

CVSS3: 5
redhat
почти 6 лет назад

A flaw was found in the Ansible Engine affecting Ansible Engine versions 2.7.x before 2.7.17 and 2.8.x before 2.8.11 and 2.9.x before 2.9.7 as well as Ansible Tower before and including versions 3.4.5 and 3.5.5 and 3.6.3 when the ldap_attr and ldap_entry community modules are used. The issue discloses the LDAP bind password to stdout or a log file if a playbook task is written using the bind_pw in the parameters field. The highest threat from this vulnerability is data confidentiality.

CVSS3: 5
nvd
больше 5 лет назад

A flaw was found in the Ansible Engine affecting Ansible Engine versions 2.7.x before 2.7.17 and 2.8.x before 2.8.11 and 2.9.x before 2.9.7 as well as Ansible Tower before and including versions 3.4.5 and 3.5.5 and 3.6.3 when the ldap_attr and ldap_entry community modules are used. The issue discloses the LDAP bind password to stdout or a log file if a playbook task is written using the bind_pw in the parameters field. The highest threat from this vulnerability is data confidentiality.

CVSS3: 5
debian
больше 5 лет назад

A flaw was found in the Ansible Engine affecting Ansible Engine versio ...

CVSS3: 5
github
почти 5 лет назад

Exposure of Sensitive Information to an Unauthorized Actor in ansible

EPSS

Процентиль: 19%
0.00061
Низкий

5 Medium

CVSS3

1.9 Low

CVSS2