ansibleの更新プログラムがAnsible Engine 2.4で利用可能になりました。

Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCommon Vulnerability Scoring System (CVSS)ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。

Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。

次のパッケージが新しいUpstreamバージョンにアップグレードされました：
ansible（2.4.6）

セキュリティの修正:

* ansible: インベントリ変数は、コードを実行する可能性のあるアドホックコマンドを実行するときに、現在の作業ディレクトリから読み込まれます（CVE-2018-10874）

* ansible: ansible.cfgが現在の作業ディレクトリから読み取られ、コードが実行される可能性があります（CVE-2018-10875）

影響、CVSSスコア、その他の関連情報を含むセキュリティの問題の詳細については、「参照」セクションに記載されているCVEのページを参照してください。

この問題は、Brian Coca氏（Red Hat）およびMichael Scherer氏（OSAS）により発見されました。

検出

RHEL 7: ansible（RHSA-2018: 2152）

high Nessus プラグイン ID 111028

バージョン 1.10