Vulnerabilidad en la petición de contraseñas en ansible-playbook -k y ansible cli tools (CVE-2019-10206)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-522
Credenciales insuficientemente protegidas
Fecha de publicación:
22/11/2019
Última modificación:
28/12/2023
Descripción
ansible-playbook -k y ansible cli tools, todas las versiones 2.8.x anteriores a 2.8.4, todas las 2.7.x anteriores a 2.7.13 y todas las 2.6.x anteriores a 2.6.19, solicitan contraseñas mediante expansión de plantillas, ya que podrían contener caracteres especiales. Las contraseñas deberán ser empaquetadas para evitar que las plantillas se activen y las expongan.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Puntuación base 2.0
4.00
Gravedad 2.0
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:redhat:ansible:*:*:*:*:*:*:*:* | 2.6.0 (incluyendo) | 2.6.19 (excluyendo) |
| cpe:2.3:a:redhat:ansible:*:*:*:*:*:*:*:* | 2.7.0 (incluyendo) | 2.7.13 (excluyendo) |
| cpe:2.3:a:redhat:ansible:*:*:*:*:*:*:*:* | 2.8.0 (incluyendo) | 2.8.4 (excluyendo) |
| cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:* | ||
| cpe:2.3:a:opensuse:backports_sle:15.0:sp1:*:*:*:*:*:* | ||
| cpe:2.3:o:opensuse:leap:15.1:*:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://lists.opensuse.org/opensuse-security-announce/2020-04/msg00021.html
- http://lists.opensuse.org/opensuse-security-announce/2020-04/msg00026.html
- https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-10206
- https://lists.debian.org/debian-lts-announce/2023/12/msg00018.html
- https://www.debian.org/security/2021/dsa-4950



