Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-07854

Опубликовано: 02 нояб. 2023
Источник: fstec
CVSS3: 6.6
CVSS2: 6.2
EPSS Низкий

Описание

Уязвимость системы управления конфигурациями Ansible связана с неверным управлением генерацией кода при обработке шаблонов. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Вендор

ООО «РусБИТех-Астра»
Fedora Project
Red Hat Inc.
ООО "Тантор Лабс"

Наименование ПО

Astra Linux Special Edition
Fedora
Red Hat Ansible Automation Platform
Ansible
СУБД «Tantor»

Версия ПО

1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
39 (Fedora)
2 (Red Hat Ansible Automation Platform)
1.2 (Red Hat Ansible Automation Platform)
до 2.14.12 (Ansible)
от 2.15.0 до 2.16 (Ansible)
15 (СУБД «Tantor»)

Тип ПО

Операционная система
Сетевое программное средство
Прикладное ПО информационных систем
СУБД

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Fedora Project Fedora 39

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,2)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,6)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству;
- ограничение доступа к устройству из внешних сетей (Интернет);
- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-5764
Для СУБД «Tantor»:
обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.10, предоставляемого в личном кабинете пользователя https://lk-new.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)
Для ОС Astra Linux:
обновить пакет ansible до 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17
Для ОС Astra Linux:
обновить пакет ansible до 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 22%
0.00071
Низкий

6.6 Medium

CVSS3

6.2 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.1
ubuntu
около 2 лет назад

A template injection flaw was found in Ansible where a user's controller internal templating operations may remove the unsafe designation from template data. This issue could allow an attacker to use a specially crafted file to introduce templating injection when supplying templating data.

CVSS3: 7.1
redhat
больше 2 лет назад

A template injection flaw was found in Ansible where a user's controller internal templating operations may remove the unsafe designation from template data. This issue could allow an attacker to use a specially crafted file to introduce templating injection when supplying templating data.

CVSS3: 7.1
nvd
около 2 лет назад

A template injection flaw was found in Ansible where a user's controller internal templating operations may remove the unsafe designation from template data. This issue could allow an attacker to use a specially crafted file to introduce templating injection when supplying templating data.

CVSS3: 7.8
msrc
около 2 лет назад

Описание отсутствует

CVSS3: 7.1
debian
около 2 лет назад

A template injection flaw was found in Ansible where a user's controll ...

EPSS

Процентиль: 22%
0.00071
Низкий

6.6 Medium

CVSS3

6.2 Medium

CVSS2