RedHatセキュリティチームによる報告:

Ansibleで入力検証の欠陥が見つかり、lookup-pluginの結果を安全でないものとして適切にマーキングできませんでした。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコードを実行する可能性があります。

2.3.1への更新、さまざまなバグ修正とCVE-2017-7481の修正。

完全な変更は以下で入手できます：

https://github.com/ansible/ansible/blob/stable-2.3/CHANGELOG.md

注意：Tenable Network Securityは、前述の記述ブロックをFedora更新システムのWebサイトから直接抽出しています。
Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

CVE-2017-7481

Ansibleは、lookup-pluginの結果を安全でないものとして適切にマークできません。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコード実行が発生する可能性があります。デフォルトでは、jinja2テンプレート言語は「安全でない」とマークされ、評価されません。

CVE-2019-10156

Ansibleテンプレートの実装方法に欠陥が発見され、予期しない変数置換を通じて情報漏洩が引き起こされる可能性があります。予期しない変数置換を利用することで、任意の変数の内容が漏洩する可能性があります。

CVE-2019-14846

Ansibleはデバッグレベルでログを記録していたため、認証情報をデバッグレベルで記録するライブラリをプラグインが使用すると、資格情報が漏えいします。この欠陥は別のプロセスで実行されるため、Ansibleモジュールには影響しません。

CVE-2019-14904

Ansible CommunityモジュールのSolaris_zoneモジュールに欠陥が見つかりました。Solarisホストでゾーンの名前を設定する際、リモートマシンの「ps」bareコマンドでプロセスを一覧表示することで、ゾーン名がチェックされます。攻撃者は、ゾーンの名前を細工し、リモートホストで任意のコマンドを実行することで、この欠陥を利用する可能性があります。

Debian 9 'Stretch'では、これらの問題はバージョン2.2.1.0-2+deb9u2で修正されています。

お使いのansibleパッケージをアップグレードすることを推奨します。

ansibleの詳細なセキュリティステータスについては、そのセキュリティトラッカーページを参照してください：
https://security-tracker.debian.org/tracker/ansible

注：Tenable Network Securityは、前述の記述ブロックをDLAセキュリティアドバイザリーから直接抽出しています。Tenableでは、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

このバージョン 2.4.1.0へのansible の更新により、次の脆弱性が修正されます：

  - CVE-2017-7481: jinja2環境を汚染しないlookupの戻り値のセキュリティ問題（bsc#1038785）

  - CVE-2016-9587: ホストからコントローラーへのコマンド実行の脆弱性（bsc#1019021）

  - CVE-2016-8628: 侵害されたサーバーによるファクト変数を介したコマンドインジェクション（bsc#1008037）

  - CVE-2016-8614: apt_keyモジュールのキーフィンガープリントの不適切な検証（bsc#1008038）

  - CVE-2017-7550: jenkins_pluginモジュールがリモートホストlogでパスワードを漏洩する可能性がありました（bsc#1065872）

この更新には、多数のUpstreamのバグ修正と改善も含まれています。

ansibleの更新プログラムがRHEV Engine version 4.1で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度中と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。次のパッケージが新しいアップストリームバージョンにアップグレードされました：ansible（2.3.1.0）。（BZ#1477925）セキュリティ修正プログラム：* Ansibleで入力検証の欠陥が見つかり、lookup-pluginの結果を安全でないものとして適切にマーキングできませんでした。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコードを実行する可能性があります。デフォルトでは、jinja2テンプレート言語は「安全でない」とマークされ、評価されません。（CVE-2017-7481）この問題は、Evgeni Golov氏（Red Hat）によって発見されました。

ansibleの更新プログラムが、Red Hat Enterprise Linux 7対応のRed Hat Gluster Storage 3.2で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。セキュリティ修正プログラム：* クライアントシステムから送信されたデータをAnsibleが処理する過程に、入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2017-7466）* Ansibleで入力検証の欠陥が見つかり、lookup-pluginの結果を安全でないものとして適切にマーキングできませんでした。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコードを実行する可能性があります。デフォルトでは、jinja2テンプレート言語は「安全でない」とマークされ、評価されません。（CVE-2017-7481）これらの問題は、Evgeni Golov氏（Red Hat）によって発見されました。

Ansibleが秘密情報を適切に処理できなかったことがわかりました。ローカルの攻撃者がこの脆弱性を悪用して、秘密情報を抽出する可能性があります。(CVE-2017-7481)  (CVE-2018-10855)  (CVE-2018-16837)  (CVE-2018-16876)  (CVE-2019-10156) 

Ansibleが、細工されたコマンドを含む現在の作業ディレクトリから設定ファイルを読み込む可能性があることがわかりました。その結果、攻撃者が任意のコードを実行する可能性があります。(CVE-2018-10874)  (CVE-2018-10875) 

Ansibleのフェッチモジュールにパストラバーサルの脆弱性があることがわかりました。ローカルの攻撃者が、指定された保存先以外の場所でファイルをコピーして上書きする可能性があります。(CVE-2019-3828)。

注意: Tenable Network Security は、前述の説明ブロックを Ubuntu セキュリティアドバイザリからすでに直接抽出しています。Tenable では、新たな問題を持ち込まずに、できる限り自動的に整理して書式設定するようにしています。

ansibleの更新プログラムが、Red Hat Storage Console 2 for Red Hat Enterprise Linux 7で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高として評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、シンプルなモデル駆動型の構成管理、マルチノード展開、リモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。拡張モジュールは任意の言語で書くことができ、管理対象マシンに自動的に転送できます。セキュリティ修正プログラム：* クライアントシステムから送信されたデータをAnsibleが処理する過程に、入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2017-7466）* Ansibleで入力検証の欠陥が見つかり、lookup-pluginの結果を安全でないものとして適切にマーキングできませんでした。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコードを実行する可能性があります。デフォルトでは、jinja2テンプレート言語は「安全でない」とマークされ、評価されません。（CVE-2017-7481）これらの問題は、Evgeni Golov氏（Red Hat）によって発見されました。

ansibleおよびopenshift-ansibleの更新プログラムが、Red Hat OpenShift Container Platform 3.2、Red Hat OpenShift Container Platform 3.3、Red Hat OpenShift Container Platform 3.4、Red Hat OpenShift Container Platform 3.5で利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Ansibleは、単純なモデル駆動の構成管理、マルチノード展開、およびリモートタスク実行システムです。AnsibleはSSH上で動作し、ソフトウェアやデーモンがリモートノードにインストールされている必要がありません。openshift-ansibleパッケージには、OpenShift Container Platform 3のインストールとアップグレードのためのAnsibleコードとプレイブックが含まれています。セキュリティ修正プログラム：* クライアントシステムから送信されたデータのAnsibleの処理に入力検証の脆弱性が見つかりました。Ansibleで管理されたクライアントシステムを制御し、Ansibleサーバーにファクトを返すことのできる攻撃者が、この欠陥を悪用し、Ansibleサーバー権限を使用してAnsibleサーバーで任意のコードを実行する可能性があります。（CVE-2017-7466）* Ansibleで入力検証の欠陥が見つかり、lookup-pluginの結果を安全でないものとして適切にマーキングできませんでした。攻撃者がlookup()呼び出しの結果を制御できる場合、jinja2テンプレートシステムによって解析されるUnicode文字列を挿入してコードを実行する可能性があります。デフォルトでは、jinja2テンプレート言語は「安全でない」とマークされ、評価されません。（CVE-2017-7481）これらの問題は、Evgeni Golov氏（Red Hat）によって発見されました。バグ修正プログラム：* 他のiptablesルールが同時に更新された場合、インストーラーはiptablesルールの追加に失敗する可能性があります。インストーラーがロックの取得を待機し、ルールが正しく作成されるようになりました。（BZ#1445194, BZ#1445282）* マルチマスター環境では、「ansible_host」と「openshift_hostname」の値が異なり、Ansibleが一方のリストを他方とは異なる方法でソートする場合、CAホストが最初のマスターになることがありますが、初期証明書には最初のマスターのホスト名を使用して署名していました。このバグ修正は、認証局を作成するときにCAホストのホスト名が確実に使用されるようにすることで、証明書が正しいホスト名で署名されるようにします。（BZ#1447399、BZ#1440309、BZ#1447398）* 「nohup」コマンドのような「バッチ」システムからAnsibleを実行すると、Ansibleは、オープンファイル記述子の最大数に達するたびにファイル記述子を漏えいし、プレイブックを中止しました。Ansible 2.2.3.0にはこの問題の修正が含まれており、OCPチャネルはこのバージョンを含むように更新されています。（BZ# 1439277）* OCP 3.4のロギングスタックは、共通の標準ロギングデータモデルを使用するようにスキーマをアップグレードしました。ただし、このスキーマを使用するElasticsearchとKibanaの構成の一部が欠落していたため、起動時にKibanaにエラーメッセージが表示されました。OCP 3.3から3.4、および3.4.xから3.4.yへのアップグレードを含む、正しいElasticsearchとKibanaの構成がロギングスタックに追加されるようになりました。その結果、Kibanaは新しいロギングデータスキーマで正しく機能します。（BZ#1444106）* アップグレードプレイブックはパッケージを一括ではなく連続してアップグレードしたため、yum依存関係の解決ではリクエストされたバージョンではなく有効なリポジトリで利用可能な最新バージョンがインストールされました。このバグ修正により、プレイブックが更新され、すべてのパッケージがリクエストされたバージョンに一度にアップグレードされるため、yumが最新バージョンにアップグレードされる可能性を防ぐことができます。（BZ#1391325、BZ#1449220、BZ#1449221）* コンテナ化されたインストール方法とRPMベースのインストール方法が混在している環境では、マスターとノードで異なるインストール方法を使用している場合、インストーラーは情報を収集できませんでした。このバグ修正により、インストーラーが更新され、混在するインストールは正しく機能します。（BZ#1408663）* 以前は、「enable_excluders = false」が設定されている場合は、excluderがインストールされていなくても、プレイブックはconfig.ymlプレイブック中にexcluderをインストールしてアップグレードしました。このバグ修正により、excluderが以前インストールされていなかった場合、プレイブックはexcluderをインストールしません。（BZ#1434679）* 以前は、名前空間の説明にASCII以外の文字が含まれていると、プレイブックが中止されました。このバグ修正により、Unicode文字を正しくデコードするようにプレイブックが更新され、OCP 3.5へのアップグレードは正しく機能します。（BZ #1444806）

ID	名前	製品	ファミリー	公開日	更新日	深刻度
100610	FreeBSD: ansible -- jinja2テンプレートシステムにおける入力検証の欠陥（15a04b9f-47cb-11e7-a853-001fbc0f280f）	Nessus	FreeBSD Local Security Checks	2017/6/5	2022/2/3	critical
100731	Fedora 25：ansible（2017-87a64155eb）	Nessus	Fedora Local Security Checks	2017/6/12	2022/2/3	critical
101623	Fedora 26：ansible（2017-49c0ac5ce7）	Nessus	Fedora Local Security Checks	2017/7/17	2022/2/3	critical
145531	DebianDLA-2535-1：ansibleのセキュリティ更新	Nessus	Debian Local Security Checks	2021/1/28	2022/2/3	critical
104522	openSUSEセキュリティ更新プログラム：ansible（openSUSE-2017-1259）	Nessus	SuSE Local Security Checks	2017/11/13	2021/11/30	critical
102813	RHEL 7：ansible（RHSA-2017:2524）	Nessus	Red Hat Local Security Checks	2017/8/29	2022/2/3	critical
100508	RHEL 7：Storage Server（RHSA-2017:1334）	Nessus	Red Hat Local Security Checks	2017/5/30	2022/2/3	critical
127043	Ubuntu 16.04 LTS / 18.04 LTS : Ansibleの脆弱性 (USN-4072-1)	Nessus	Ubuntu Local Security Checks	2019/7/25	2023/10/21	critical
100744	Fedora 24：ansible（2017-6aff7475b7）	Nessus	Fedora Local Security Checks	2017/6/13	2022/2/3	critical
100980	RHEL 7：ansible（RHSA-2017:1499）	Nessus	Red Hat Local Security Checks	2017/6/22	2022/2/3	critical
119388	RHEL 7：ansible and openshift-ansible（RHSA-2017:1244）	Nessus	Red Hat Local Security Checks	2018/12/4	2022/5/26	critical

検出

プラグインの検索

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical

critical