Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en la petición de contraseñas en ansible-playbook -k y ansible cli tools (CVE-2019-10206)

Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-522 Credenciales insuficientemente protegidas
Fecha de publicación:
22/11/2019
Última modificación:
28/12/2023

Descripción

ansible-playbook -k y ansible cli tools, todas las versiones 2.8.x anteriores a 2.8.4, todas las 2.7.x anteriores a 2.7.13 y todas las 2.6.x anteriores a 2.6.19, solicitan contraseñas mediante expansión de plantillas, ya que podrían contener caracteres especiales. Las contraseñas deberán ser empaquetadas para evitar que las plantillas se activen y las expongan.

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:redhat:ansible:*:*:*:*:*:*:*:* 2.6.0 (incluyendo) 2.6.19 (excluyendo)
cpe:2.3:a:redhat:ansible:*:*:*:*:*:*:*:* 2.7.0 (incluyendo) 2.7.13 (excluyendo)
cpe:2.3:a:redhat:ansible:*:*:*:*:*:*:*:* 2.8.0 (incluyendo) 2.8.4 (excluyendo)
cpe:2.3:o:debian:debian_linux:10.0:*:*:*:*:*:*:*
cpe:2.3:a:opensuse:backports_sle:15.0:sp1:*:*:*:*:*:*
cpe:2.3:o:opensuse:leap:15.1:*:*:*:*:*:*:*