CVE-2026-71465: инъекция аргументов CLI в Ansible Automation Platform через поле limit ad-hoc команд
В компоненте Automation Controller платформы Red Hat Ansible Automation Platform обнаружена уязвимость инъекции аргументов командной строки. Из-за некорректной обработки поля limit в ad-hoc командах значение, начинающееся с дефиса, интерпретируется как опция CLI утилиты ansible. Уязвимость имеет низкую критичность (CVSS 3.1), но требует внимания администраторов.
Подробности
Уязвимость затрагивает функцию RunAdHocCommand.build_args(). В отличие от RunJob, где поле limit корректно передаётся через args.extend(['-l', limit]), в RunAdHocCommand значение limit добавляется как обычный позиционный аргумент: args.append(limit). В результате строка, начинающаяся с дефиса, воспринимается ansible как опция командной строки, а не как значение параметра. На практике это означает возможность инъекции CLI-аргументов в исполняемый файл ansible. По состоянию на момент публикации записи CVE воздействие ограничено короткозамкнутыми флагами вроде --version и --help: внедрённый элемент вытесняет обязательный позиционный аргумент pattern, из-за чего выполнение прерывается. Однако, как отмечается в описании, ситуация может эскалировать, если в ansible-core появится значение pattern по умолчанию — тогда инъецированные опции смогут влиять на реальное выполнение команд. Уязвимости присвоен базовый балл CVSS 3.1, что соответствует низкому уровню критичности. Под уязвимость подпадают следующие продукты и версии: - Red Hat Ansible Automation Platform 2.5 для RHEL 8; - Red Hat Ansible Automation Platform 2.5 для RHEL 9; - Red Hat Ansible Automation Platform 2.6 для RHEL 9; - Red Hat Ansible Automation Platform 2 (в целом).Что делать
Основная рекомендация — отслеживать официальные обновления Red Hat и установить исправленную версию Ansible Automation Platform сразу после её выпуска. Поскольку информация о конкретном патче в записи CVE не приводится, следует ориентироваться на официальные бюллетени безопасности Red Hat и страницу продукта. До установки обновления можно применить компенсирующие меры: - ограничить круг пользователей, имеющих право запускать ad-hoc команды через Automation Controller; - проверять значения поля limit и не допускать передачи строк, начинающихся с дефиса; - рассмотреть ограничение прав на выполнение ad-hoc команд на уровне ролей и политик доступа. Отдельно стоит учитывать, что на текущий момент эксплуатация приводит лишь к прерыванию выполнения (через --version или --help), а не к выполнению произвольного кода. Тем не менее архитектурная причина — небезопасное построение аргументов — сохраняется, поэтому пренебрегать обновлением не стоит. Итог: уязвимость CVE-2026-71465 имеет низкую критичность и ограниченное практическое воздействие, но затрагивает широко используемую корпоративную платформу автоматизации. Администраторам Ansible Automation Platform рекомендуется проверить версии, ограничить доступ к запуску ad-hoc команд и своевременно установить официальный патч.Источник: CVE Project (cvelistV5)