Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - ansible-core に欠陥が見つかりました。「ansible-galaxy collection install」でコレクションをインストールする場合、アーカイブ抽出器は、シンボリックリンク(os.path.realpath)を解決する代わりに、字句パス正規化(os.path.abspath)を使用してメンバーパスを検証します。また、シンボリックリンク型のディレクトリメンバーを作成する前に、これに対する包含チェックを実行しません。細工されたコレクション tarball が、シンボリックリンクディレクトリエントリを連鎖させて、後続のファイルメンバーが意図された宛先ディレクトリの外に書き込まれるようにする可能性があります。これにより、被害者に悪意のあるコレクションをインストールさせることのできる攻撃者は、ansible-galaxy を実行しているユーザーの権限で任意のファイルを上書きし、コントロールノードでコードを実行する可能性があります。これは、 CVE-2020-10691 の修正のバイパスです。(CVE-2026-89091)

Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2026-89091

high Nessus プラグイン ID 364292

バージョン 1.4