CVE-2026-71463: обход Jinja-whitelist в Ansible Automation Platform через условные конструкции уведомлений

ЗАГОЛОВОК CVE-2026-71463: обход Jinja-whitelist в Ansible Automation Platform через условные конструкции уведомлений ===PREVIEW=== В Ansible Automation Platform обнаружена уязвимость CVE-2026-71463, позволяющая обойти белый список Jinja-шаблонов в уведомлениях с помощью динамических подписок и условного ветвления. При срабатывании скрытой ветки в тело уведомления попадают полные трассировки стека, которые отправляются на подконтрольный атакующему webhook. Критичность низкая (CVSS 2.7), но утечка раскрывает внутренние пути установки, версию Python и номера строк исходного кода. ===DETAIL === Уязвимость затрагивает механизм шаблонов уведомлений в Automation-controller — компоненте Red Hat Ansible Automation Platform. Проверка безопасности Jinja-шаблонов построена на анализе AST, однако она оказалась неполной: whitelist инспектирует только статические узлы Getattr и не учитывает динамические подписки и условные конструкции.

Подробности

Проблема описана в CVE-2026-71463 и имеет оценку CVSS 2.7 (LOW). Уязвимы следующие продукты: - Red Hat Ansible Automation Platform 2.5 для RHEL 8; - Red Hat Ansible Automation Platform 2.5 для RHEL 9; - Red Hat Ansible Automation Platform 2.6 для RHEL 9; - Red Hat Ansible Automation Platform 2. Механизм обхода состоит из двух приёмов. Первый — динамические подписки вида `job['job'+'_env']`, которые не распознаются проверкой AST, ориентированной на статические Getattr-узлы. Второй — условное ветвление, например `{% if job.id > 100 %}`: при тестовом рендеринге заглушка содержит небольшое значение `job.id`, поэтому скрытая ветка не выполняется и проверка проходит успешно. Однако в реальной среде при выполнении гейтированная ветка активируется, и возникающие исключения записывают полные трассировки стека прямо в тело уведомления. Это тело затем отправляется POST-запросом на webhook-URL, который может контролироваться атакующим. В результате утекают установочные пути, версия Python и номера строк исходного кода — сведения, полезные для дальнейшей разведки и подготовки более серьёзных атак. Существенно, что проверка с помощью тестового рендеринга не выявляет проблему: заглушка намеренно содержит малые значения, из-за чего опасная ветка остаётся невыполненной на этапе валидации. Это делает защиту неэффективной против шаблонов, специально сконструированных с расчётом на разницу между тестовым и боевым окружением.

Что делать

Основная рекомендация — установить обновления Ansible Automation Platform, выпущенные Red Hat для устранения CVE-2026-71463. Следите за официальными бюллетенями безопасности Red Hat и применяйте патчи для затронутых веток 2.5 и 2.6. Если немедленное обновление невозможно, рассмотрите следующие митигации: - ограничьте возможность создания и редактирования шаблонов уведомлений доверенными пользователями; - проверяйте и по возможности фиксируйте список webhook-адресов, на которые разрешена отправка уведомлений; - не допускайте использования недоверенных шаблонов с динамическими подписками и условными конструкциями; - включите мониторинг исходящих запросов от контроллера и анализируйте содержимое уведомлений на предмет трассировок стека. Стоит учитывать, что уязвимость требует определённых условий эксплуатации и имеет низкую оценку CVSS, поэтому приоритет стоит расставить в зависимости от вашей модели угроз и доступности шаблонов уведомлений для внешних или низкопривилегированных пользователей. Итог: CVE-2026-71463 — пример того, как неполная проверка AST и расхождение между тестовым и боевым рендерингом позволяют обойти whitelist шаблонов. Хотя утечка ограничивается трассировками, раскрываемые данные упрощают разведку инфраструктуры, поэтому обновление Ansible Automation Platform и ограничение доступа к шаблонам уведомлений остаются обязательными мерами.

Источник: CVE Project (cvelistV5)