CVE-2026-103869: повторное использование bearer-токенов между remotes в pulp-ansible

В компоненте pulp-ansible, отвечающем за работу с Ansible-коллекциями, выявлена уязвимость, связанная с некорректным обращением с bearer-токенами при обновлении доступа к collection remotes. Проблема получила идентификатор CVE-2026-103869 и оценку CVSS 6.5 (MEDIUM).

Подробности

Согласно описанию, механизм обновления bearer-токенов для collection remotes в pulp-ansible реализован таким образом, что access-токен хранится в одной переменной на уровне модуля и затем используется повторно для каждой загрузки токена в рамках данного worker-процесса. Иными словами, токен не изолируется по конкретному remote. Это создаёт следующую модель угрозы: пользователь, имеющий право синхронизировать Ansible remote с использованием token refresh, может направить этот remote на сервер, который он контролирует. В результате он получит access-токен, фактически выданный для другого remote, и сможет применить его в сервисе, который этот токен изначально выпустил. Важно отметить ограниченность последствий: содержимое, хранящееся в Pulp, не изменяется, а сам сервис не останавливается. То есть речь идёт не о нарушении целостности хранилища и не об отказе в обслуживании, а о несанкционированном повторном использовании токена доступа. Уязвимость затрагивает следующие продукты:

• Red Hat Ansible Automation Platform 2;
• Red Hat Satellite 6.

Что делать

Основная рекомендация — своевременно обновиться до версий затронутых продуктов, в которых устранена данная проблема. Поскольку CVE-2026-103869 касается поведения pulp-ansible при обновлении токенов, исправление должно обеспечивать изоляцию access-токенов по каждому remote, а не их хранение в общей модульной переменной worker-процесса. До применения обновлений можно рассмотреть следующие меры снижения риска:

• ограничить круг пользователей, обладающих правом синхронизировать Ansible remotes с использованием token refresh;
• контролировать, на какие серверы могут указывать настраиваемые remotes, и по возможности исключить указание на внешние, недоверенные хосты;
• провести аудит журналов синхронизации remotes на предмет подозрительной активности и обращений к необычным адресам;
• оценить необходимость ротации или отзыва токенов, которые могли быть скомпрометированы в результате эксплуатации уязвимости.

Следует также отслеживать официальные рекомендации Red Hat и обновления безопасности для Ansible Automation Platform 2 и Satellite 6. Итог: CVE-2026-103869 — уязвимость среднего уровня критичности в pulp-ansible, позволяющая пользователю с правом синхронизации remotes получить access-токен, выданный для другого remote, и повторно использовать его в выпустившем сервисе. Целостность содержимого Pulp и доступность сервиса при этом не нарушаются. Ключевая мера защиты — установка исправленных версий и ограничение прав на синхронизацию с внешними remotes.

Источник: CVE Project (cvelistV5)