Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-06096

Опубликовано: 21 сент. 2023
Источник: fstec
CVSS3: 6.3
CVSS2: 7.5
EPSS Низкий

Описание

Уязвимость системы управления конфигурациями Red Hat Ansible связана с неверным определением ссылки перед доступом к файлу. Эксплуатация уязвимости может позволить нарушителю перезаписать произвольные файлы

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
ООО «РусБИТех-Астра»
Red Hat Inc.

Наименование ПО

Debian GNU/Linux
РЕД ОС
Astra Linux Special Edition
Red Hat Ansible Automation Platform
Ansible
Ansible Core

Версия ПО

10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
2 (Red Hat Ansible Automation Platform)
1.2 (Red Hat Ansible Automation Platform)
до 8.5.0 (Ansible)
до 2.15.5 (Ansible Core)

Тип ПО

Операционная система
Сетевое программное средство
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-5115
https://github.com/ansible/ansible/pull/81780
https://github.com/ansible/ansible/commit/ddf0311c63287e2d5334770377350c1e0cbfff28
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-5115
Для ОС Astra Linux:
обновить пакет ansible до 2.7.7+dfsg-1+deb10u2 или более высокой версии, используя рекомендации производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет ansible до 2.7.7+dfsg-1+deb10u2 или более высокой версии, используя рекомендации производителя:
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 56%
0.00346
Низкий

6.3 Medium

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVSS3: 6.3
redos
7 месяцев назад

Множественные уязвимости ansible

CVSS3: 6.3
ubuntu
больше 1 года назад

An absolute path traversal attack exists in the Ansible automation platform. This flaw allows an attacker to craft a malicious Ansible role and make the victim execute the role. A symlink can be used to overwrite a file outside of the extraction path.

CVSS3: 6.3
redhat
почти 2 года назад

An absolute path traversal attack exists in the Ansible automation platform. This flaw allows an attacker to craft a malicious Ansible role and make the victim execute the role. A symlink can be used to overwrite a file outside of the extraction path.

CVSS3: 6.3
nvd
больше 1 года назад

An absolute path traversal attack exists in the Ansible automation platform. This flaw allows an attacker to craft a malicious Ansible role and make the victim execute the role. A symlink can be used to overwrite a file outside of the extraction path.

CVSS3: 6.3
msrc
12 месяцев назад

Описание отсутствует

EPSS

Процентиль: 56%
0.00346
Низкий

6.3 Medium

CVSS3

7.5 High

CVSS2