リモートの Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS ホストには、USN-7330-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

    Ansible が X.509 証明書の特定のフィールドを適切に検証しないことがわかりました。ネットワーク通信を傍受できた場合、攻撃者がこの問題を利用して、SSL サーバーを偽装する可能性があります。
    この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2015-3908)

    Martin Carpenter 氏は、Ansible 用の特定の接続プラグインが適切にユーザーを制限しないことを発見しました。
    ローカルアクセス権を持つ攻撃者がこの問題を利用して、シンボリックリンクの誤用を介して制限された環境をエスケープする可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS のみです。(CVE-2015-6240)

    Robin Schneider 氏は、Ansible の apt_key モジュールが鍵の指紋を適切に検証しないことを発見しました。リモートの攻撃者がこの問題を利用して、キーインジェクションを実行し、秘密情報を入手する可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS と Ubuntu 16.04 LTS のみです。(CVE-2016-8614)

    Ansible は特定のインスタンスでパスワードを漏洩することがわかりました。攻撃者は、この問題に関連する特別に細工された入力を使用して、秘密情報にアクセスする可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2019-10206)

    Ansible が機密情報を誤って記録していたことが判明しました。ローカルアクセス権限を持つ攻撃者がこの問題を悪用して、秘密情報にアクセスする可能性があります。この問題の影響を受けるのは、Ubuntu 14.04 LTS、Ubuntu 16.04 LTS、Ubuntu 18.04 LTS のみです。(CVE-2019-14846)

    Ansible の solaris_zone モジュールが、入力チェックを実行せずに入力を受け入れることがわかりました。リモートの攻撃者はこの問題を利用して任意のコードを実行できる可能性がありますこの問題の影響を受けるのは、Ubuntu 16.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2019-14904)

    Ansible は十分にランダムな値を生成していないため、パスワードが漏洩する可能性があることが判明しました。攻撃者がこの問題を悪用して、秘密情報にアクセスする可能性があります。この問題の影響を受けるのは、Ubuntu 16.04 LTS と Ubuntu 18.04 LTS のみです。(CVE-2020-10729)

    Ansible の svn モジュールが、同じノード内のユーザーにパスワードを漏洩する可能性があることが判明しました。攻撃者がこの問題を悪用して、秘密情報にアクセスする可能性があります。(CVE-2020-1739)

Tenable は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Ubuntu 14.04 LTS / 16.04 LTS / 18.04 LTS / 20.04 LTS : Ansible の脆弱性 (USN-7330-1)

high Nessus プラグイン ID 232217

バージョン 1.1