Vulnerabilidad en Ansible Automation Platform (CVE-2025-49520)

Gravedad CVSS v3.1:

ALTA

Tipo:

No Disponible / Otro tipo

Fecha de publicación:

30/06/2025

Última modificación:

03/07/2025

Descripción

Se detectó una falla en el componente EDA de Ansible Automation Platform, donde las URL de Git proporcionadas por el usuario se pasan sin depurar al comando git ls-remote. Esta vulnerabilidad permite a un atacante autenticado inyectar argumentos y ejecutar comandos arbitrarios en el trabajador de EDA. En entornos Kubernetes/OpenShift, esto puede provocar el robo de tokens de cuentas de servicio y el acceso al clúster.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.80 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto

Puntuación base 3.x

8.80

Gravedad 3.x

ALTA

Vulnerabilidad en Ansible Automation Platform (CVE-2025-49520)

Descripción

Impacto

Referencias a soluciones, herramientas e información