CVE-2026-71464: обход проверки git-аргументов в Automation Controller через scm_branch
В Automation Controller обнаружена уязвимость CVE-2026-71464: поля scm_branch в расписаниях (schedule) и узлах Workflow Job Template Node принимают значения, начинающиеся с дефиса, что позволяет обойти защитную проверку git-аргументов. Проблема затрагивает Red Hat Ansible Automation Platform 2.5 и 2.6 для RHEL 8/9 и оценена как низкая (CVSS 3.1). Сейчас риск заблокирован на уровне рантайма, но уязвимость может перерасти в RCE при рефакторинге защитного кода.
Подробности
Проблема затрагивает сериализатор LaunchConfigurationBaseSerializer, а именно поле scm_branch. В отличие от сериализаторов Project, JobTemplate и JobLaunch, здесь отсутствует метод validate_scm_branch(), который проверяет, не начинается ли значение с дефиса. Из-за этого расписания (schedule) и узлы Workflow Job Template Node (WFJT Node) могут принять в качестве scm_branch строку, начинающуюся с дефиса, например --upload-pack=/bin/id. Такая строка интерпретируется как аргумент командной строки git, что позволяет обойти защиту от инъекции git-аргументов (leading-dash git-argument guard). На данный момент эксплуатация блокируется проверкой ValueError в jobs.py (строка 1502) — это защита в глубину (defense-in-depth). Однако отсутствие валидации на уровне API означает, что безопасность зависит исключительно от этой проверки в слое задач. Если в будущем защитный код будет удалён или изменён при рефакторинге, уязвимость может привести к удалённому выполнению кода (RCE). Уязвимости присвоен рейтинг CVSS 3.1 (LOW). Затронуты следующие версии: — Red Hat Ansible Automation Platform 2.5 для RHEL 8; — Red Hat Ansible Automation Platform 2.5 для RHEL 9; — Red Hat Ansible Automation Platform 2.6 для RHEL 9; — Red Hat Ansible Automation Platform 2.Что делать
Организациям, использующим Ansible Automation Platform, рекомендуется: — установить обновления, выпущенные Red Hat для затронутых версий Automation Controller, как только они станут доступны; — ограничить доступ к API Automation Controller, чтобы только доверенные пользователи могли создавать и изменять расписания и узлы WFJT Node; — проверить существующие расписания и узлы WFJT Node на наличие значений scm_branch, начинающихся с дефиса, и удалить подозрительные конфигурации; — отслеживать состояние защиты в jobs.py и учитывать, что текущая блокировка может быть изменена в будущих релизах. Итог CVE-2026-71464 — это уязвимость недостаточной валидации входных данных в Automation Controller, которая на текущий момент не позволяет напрямую выполнить код, но создаёт опасный прецедент: безопасность держится на единственной проверке в рантайме. Своевременное обновление и ограничение доступа к API снижают риск, а исправление на уровне сериализатора критически важно для устранения уязвимости в корне.Источник: CVE Project (cvelistV5)