Критическая уязвимость в memcached cache plugin из community.general позволяет выполнить код на Ansible controller — CVE-2026-87874
Уязвимость CVE-2026-87874 в memcached cache plugin коллекции community.general приводит к десериализации недоверенных pickle-данных из memcached. Атакующий может отравить кэш и получить удаленное выполнение кода на Ansible controller. CVSS 8.1 (HIGH).
Подробности
Проблема обнаружена в компоненте **memcached cache plugin** коллекции **community.general** для Ansible. В документации плагина заявлено, что записи хранятся в формате JSON, однако фактически плагин не выполняет явную сериализацию. Вместо этого он полагается на библиотеку **python-memcached**, которая автоматически сериализует значения в pickle при записи и десериализует при чтении. Это создает опасную комбинацию: memcached не требует аутентификации, а ключи кэша предсказуемы. Если атакующий имеет доступ к сетевому или общему memcached-серверу (что нередко в корпоративных средах), он может записать специально сформированный pickle-объект по известному ключу. При следующем чтении отравленного fact cache выполняется произвольный код на Ansible controller. Уязвимость классифицирована с высоким уровнем серьезности: **CVSS 8.1 (HIGH)**. Затронуты продукты Red Hat: **Red Hat Ceph Storage 5 и 9**, а также **Red Hat OpenStack Platform 17.1 и 18.0**, которые поставляют Ansible с уязвимой коллекцией.Что делать
В первую очередь следует обновить коллекцию community.general до версии, содержащей исправление. Рекомендуется отслеживать релизы Red Hat для соответствующих продуктов — Ceph Storage и OpenStack Platform. Дополнительные митигации: 1. **Изолируйте memcached**: не публикуйте сервер кэша в сеть с ненадежными узлами. Используйте сетевые политики или файерволы, ограничивающие доступ к порту 11211. 2. **Используйте аутентификацию и TLS** для memcached, если это возможно. 3. **Пересмотрите использование cache plugins**: при необходимости используйте альтернативные плагины (например, redis или jsonfile), поддерживающие безопасную сериализацию. 4. **Мониторинг**: настройте обнаружение аномальных подключений к memcached-серверам и подозрительных сетевых запросов. Итог CVE-2026-87874 — серьезный сигнал о том, что даже вспомогательные компоненты Ansible могут стать вектором атаки. Разрыв между документацией и реальным поведением кода — типичная причина уязвимостей такого класса. Компаниям, использующим Ansible в связке с memcached, необходимо незамедлительно провести аудит конфигураций и применить обновления, пока уязвимость не была использована злоумышленниками.Источник: CVE Project (cvelistV5)