An update of the ansible package has been released.

リモートの SUSE Linux SUSE15ホストには、openSUSE-SU-2022:0081-1 のアドバイザリに記載された複数の脆弱性の影響を受けるパッケージがインストールされています。

  - ansible で欠陥が見つかりました。 ansible.cfg が現在の作業ディレクトリから読み取られ、攻撃者の制御下でプラグインまたはモジュールパスを指すように変更される可能性があるため、攻撃者が任意のコードを実行する可能性があります。 (CVE-2018-10875)

  - Ansible User モジュールが、パラメーターとして ssh-keygen に渡されるデータを漏洩します。これは、パスフレーズの認証情報が ssh-keygen 実行可能ファイルのパラメーターとして渡されるなど、好ましくない状況になりかねません。プロセスリストにのみアクセスできるすべてのユーザーに対して、資格情報を平文で表示。 (CVE-2018-16837)

  - 2.6.18、2.7.12、2.8.2以前のバージョンでAnsibleテンプレートの実装方法に欠陥が発見され、予期しない変数置換を通じて情報漏洩が引き起こされる可能性があります。予期しない変数置換を利用することで、任意の変数の内容が漏洩する可能性があります。
    (CVE-2019-10156)

  - Ansibleでは、ansible-engine 2.8.5、ansible-engine 2.7.13、ansible-engine 2.6.19以前のすべてのAnsible Engineバージョンが、デバッグレベルでログを記録していたため、認証情報をデバッグレベルで記録するライブラリをプラグインが使用すると、認証情報が漏洩します。この欠陥は別のプロセスで実行されるため、Ansibleモジュールには影響しません。 (CVE-2019-14846)

  - Ansible Communityモジュールのsolaris_zoneモジュールに欠陥が見つかりました。Solarisホストでゾーンの名前を設定する際、リモートマシンの「ps」bareコマンドでプロセスを一覧表示することで、ゾーン名がチェックされます。攻撃者は、ゾーンの名前を細工し、リモートホストで任意のコマンドを実行することで、この欠陥を利用する可能性があります。Ansible Engine 2.7.15、2.8.7、2.9.2、ならびに以前のバージョンが影響を受けます。 (CVE-2019-14904)

  - Ansible Engine のバージョン 2.9.3より前の 2.9.x、2.8.8 より前の 2.8.x、2.7.16 以前の 2.7.xに脆弱性が見つかりました。Ansible の nxos_file_copy モジュールで、NXOS デバイスのフラッシュまたはブートフラッシュにファイルをコピーする可能性があります。悪意のあるコードがファイル名パラメーターを細工し、OS コマンドインジェクションを実行する可能性があります。これにより、他の問題とともにシステムの機密性が失われる可能性があります。
    (CVE-2019-14905)

  - ansible_factsをそれ自体のサブキーとして使用し、注入が有効な場合に変数に昇格させる際に、Ansible Engineのすべてのバージョン2.7.x、2.8.x、2.7.17より前の2.9.x、2.8.9、2.9.6に欠陥が見つかりました。これにより、クリーン後にansible_factsを上書きされます。攻撃者が、ansible_hosts、ユーザー、その他のキーデータなどのansible_factsを変更することでこれを利用し、権限昇格またはコードインジェクションにつながる可能性があります。 (CVE-2020-10684)

  - assemble、script、unarchive、win_copy、aws_s3、またはcopyモジュールなどのVaultファイルを復号化するモジュールを使用する際に、Ansible Engineバージョン2.7.17より前の2.7.x、2.8.11より前の2.8.x、2.9.7より前の2.9.xに影響を与えるAnsible Engine、Ansible Towerバージョン3.4.5、3.5.5、3.6.3を含む以前のバージョンで欠陥が見つかりました。/tmpに一時ディレクトリが作成され、s tsは暗号化されません。/tmpがtmpfsではなくrootパーティションの一部であるオペレーティングシステムでは、ディレクトリは起動時にのみクリアされ、ホストのスイッチがオフになったときにも復号化されたままになります。システムは、システムが実行されていないときに脆弱になります。このため、復号化されたデータはできる限り早くクリアする必要があり、通常は暗号化されているデータは破損します。 (CVE-2020-10685)

  - ansible-galaxy コレクションインストールを実行する際、 2.9.7より前のバージョン 2.9.xのすべての ansible-engine でアーカイブトラバーサルの欠陥が見つかりました。コレクション .tar.gz ファイルを抽出するとき、ファイル名をサニタイズせずにディレクトリが作成されます。攻撃者がこれを利用して、システム内の任意のファイルを上書きする可能性があります。
    (CVE-2020-10691)

  - Ansibleでの不十分にランダムな値の使用に欠陥が見つかりました。同じ長さの2つのランダムなパスワード検索は、再評価が発生しないため、同じファイルに対するテンプレートキャッシュアクションと同じ値を生成します。この脆弱性による最大の脅威は、ファイルのすべてのパスワードが一度に漏洩することです。この欠陥は、2.9.6より前のバージョンのAnsible Engineに影響を与えます。 (CVE-2020-10729)

  - uriモジュールを使用するときにAnsibleでログの不適切な出力中性化の欠陥が見つかりました。機密データがコンテンツとjson出力に漏洩されます。この欠陥により、攻撃者は実行されたタスクのログまたは出力にアクセスして、プレイブックで使用されたキーを他のユーザーからuriモジュール内で読み取ることができます。この脆弱性による主な脅威は、データの機密性に関するものです。 (CVE-2020-14330)

  - module_argsを使用する際に、Ansible Engineに欠陥が見つかりました。チェックモードで実行されたタスク (--check-mode) は、イベントデータで漏洩した機密データを適切に無効にしません。この欠陥により、認証されていないユーザーがこのデータを読み取る可能性があります。この脆弱性による主な脅威は、機密性に関するものです。
    (CVE-2020-14332)

  - Ansible Engine 2.7.17以前、2.8.9以前、2.9.6以前で、権限のないbecomeユーザーがプレイブックを実行したときに、競合状態の欠陥が見つかりました。Ansibleでbecomeユーザーがモジュールを実行する必要がある場合、/var/tmpに一時ディレクトリが作成されます。このディレクトリは、「umask 77 && mkdir -p<dir>」で作成されます。ディレクトリがすでに存在し、別のユーザーが所有している場合、この操作は失敗しません。「/proc/<pid>/cmdline」を繰り返すと標的のディレクトリを取得できるため、攻撃者はこれを利用してbecomユーザーを制御する可能性があります。 (CVE-2020-1733)

  - ansible のパイプ検索プラグインに欠陥が見つかりました。パイプ検索プラグインが shell=True で subprocess.Popen() を使用する場合、ansible ファクトを上書きすることで任意のコマンドを実行でき、変数は引用プラグインによってエスケープされません。攻撃者がこれを利用し、ansible ファクトを上書きすることで、任意のコマンドを実行する可能性があります。 (CVE-2020-1734)

  - フェッチモジュールを使用する際に、Ansible Engineに欠陥が見つかりました。攻撃者がモジュールを傍受し、新しいパスを挿入してから、コントローラーノードで新しい宛先パスを選択する可能性があります。2.7.x、2.8.x、および2.9.xブランチのすべてのバージョンが脆弱であると考えられています。 (CVE-2020-1735)

  - ファイルモードを指定できないため、atomic_move プリミティブを使用してファイルを移動する際に、Ansible Engine に欠陥が見つかりました。これにより、移動先のファイルが存在しない場合は誰でも読み取りできるように移動先のファイルが設定され、ファイルが存在する場合は、移動前にファイルのアクセス許可の制限が緩和される可能性があります。
    このため、機密データの漏洩が発生する可能性があります。2.7.x、2.8.x、および2.9.xブランチのすべてのバージョンが脆弱であると考えられています。 (CVE-2020-1736)

  - win_unzip モジュールから Extract-Zip 関数を使用するとき、Ansible 2.7.17以前、2.8.9 以前、2.9.6 以前に欠陥が見つかりました。これは、抽出されたファイルについて、保存先のフォルダーに属しているかどうかがチェックされないためです。攻撃者が、パストラバーサルを使用してファイルシステムの任意の場所でアーカイブを細工することにより、この欠陥を悪用する可能性があります。この問題は 2.10で修正されています。(CVE-2020-1737)

  - モジュールパッケージまたはサービスが使用され、パラメーター「use」が指定されていない場合、Ansible Engine に欠陥が見つかりました。以前のタスクが悪意のあるユーザーで実行された場合、攻撃者が ansible ファクトファイルを使用して、送信されたモジュールが選択される可能性があります。2.7.x、2.8.x、および2.9.xブランチのすべてのバージョンが脆弱であると考えられています。 (CVE-2020-1738)

  - svnモジュールの引数「password」でパスワードを設定するとき、Ansible 2.7.16以前、2.8.8以前、2.9.5以前に欠陥が見つかりました。これは、svnコマンドラインで使用され、同じノード内の他のユーザーに公開されます。攻撃者は、procfsで特定のPIDからのcmdlineファイルを読み取ることで利用できます。 (CVE-2020-1739)

  - 暗号化ファイルの編集用にAnsible Vaultを使用するときに、Ansible Engineで欠陥が見つかりました。ユーザーが「ansible-vault edit」を実行すると、同じコンピューター上の別のユーザーが以前および現在の秘密を読み取ることができます。これは、mkstempを備えた一時ファイルで作成され、返されたファイル記述子が閉じられ、ファイル内の既存の秘密を書き込むためにメソッドwrite_dataが呼び出されるためです。このメソッドは、それを安全ではない方法で再作成する前にファイルを削除します。2.7.x、2.8.x、および2.9.xブランチのすべてのバージョンが脆弱であると考えられています。
    (CVE-2020-1740)

  - ldap_attrおよびldap_entryコミュニティモジュールが使用されるとき、Ansible Engineバージョン2.7.17より前の2.7.x、2.8.11より前の2.8.x、2.9.7より前の2.9.xに影響するAnsible Engine、およびAnsible Towerバージョン3.4.5、3.5.5、3.6.3以前に欠陥が見つかりました。この問題は、playbookタスクがbind_pwをパラメーターフィールドに使用して書き込まれている場合、LDAPバインドパスワードをstdoutまたはログファイルに漏洩します。この脆弱性による主な脅威は、データの機密性です。 (CVE-2020-1746)

  - k8sモジュールを使用してkubernetesを管理する際、セキュリティの欠陥はAnsible Engine、2.7.17より前のAnsible 2.7.xバージョン、2.8.11より前のAnsible 2.8.xバージョン、および2.9.7より前のAnsible 2.9.xバージョンで、セキュリティの欠陥が見つかりました。パスワードやトークンなどの機密パラメーターが、環境変数や入力構成ファイルを使用せずに、コマンドラインからkubectlに渡されます。これにより、プロセスリストからパスワードとトークンが漏洩し、デバッグモジュールからのno_logディレクティブに影響がなく、これらの機密はstdoutおよびログファイルで漏洩されます。 (CVE-2020-1753)

  - ansible モジュールに欠陥が見つかりました。bitbucket_pipeline_variable モジュールを使用する際に、認証情報がデフォルトでコンソールログに漏洩され、セキュリティ機能によって保護されていません。この欠陥により、攻撃者が bitbucket_pipeline の認証情報を盗む可能性があります。この脆弱性による主な脅威は、機密性に関するものです。(CVE-2021-20178、CVE-2021-20180)

  - ansible に欠陥が見つかりました。シークレットなどの認証情報が、デフォルトでコンソールログに開示され、これらのモジュールの使用時に no_log 機能によって保護されていません。攻撃者がこの情報を利用して、これらの認証情報を盗む可能性があります。この脆弱性による主な脅威は、データの機密性に関するものです。ansible 2.9.18より前のバージョンが影響を受けます。 (CVE-2021-20191)

  - Ansible Engine 2.9.18に欠陥が見つかりました。機密情報はデフォルトでマスクされず、basic.pyモジュールのサブオプション機能を使用する際にno_log機能により保護されません。この欠陥により、攻撃者が機密情報を取得する可能性があります。この脆弱性による主な脅威は、機密性に関するものです。 (CVE-2021-20228)

Nessus はこの問題をテストしておらず、代わりにアプリケーションの自己報告されたバージョン番号にのみ依存しています。

远程主机受到 GLSA-202006-11 中所述漏洞的影响（Ansible：多个漏洞）

    已在 Ansible 中发现多种漏洞。请检查下方引用的 CVE 标识符以了解详细信息。
  影响：

    请查看供参考的 CVE 标识符，了解详细信息。
  变通方案：

    目前无任何已知的变通方案。

The remote host is affected by the vulnerability described in GLSA-202006-11 (Ansible: Multiple vulnerabilities)

    Multiple vulnerabilities have been discovered in Ansible. Please review       the CVE identifiers referenced below for details.
  Impact :

    Please review the referenced CVE identifiers for details.
  Workaround :

    There is no known workaround at this time.

The remote SUSE Linux SUSE15 host has packages installed that are affected by multiple vulnerabilities as referenced in the openSUSE-SU-2022:0081-1 advisory.

  - A flaw was found in ansible. ansible.cfg is read from the current working directory which can be altered     to make it point to a plugin or a module path under the control of an attacker, thus allowing the attacker     to execute arbitrary code. (CVE-2018-10875)

  - Ansible User module leaks any data which is passed on as a parameter to ssh-keygen. This could lean in     undesirable situations such as passphrases credentials passed as a parameter for the ssh-keygen     executable. Showing those credentials in clear text form for every user which have access just to the     process list. (CVE-2018-16837)

  - A flaw was discovered in the way Ansible templating was implemented in versions before 2.6.18, 2.7.12 and     2.8.2, causing the possibility of information disclosure through unexpected variable substitution. By     taking advantage of unintended variable substitution the content of any variable may be disclosed.
    (CVE-2019-10156)

  - In Ansible, all Ansible Engine versions up to ansible-engine 2.8.5, ansible-engine 2.7.13, ansible-engine     2.6.19, were logging at the DEBUG level which lead to a disclosure of credentials if a plugin used a     library that logged credentials at the DEBUG level. This flaw does not affect Ansible modules, as those     are executed in a separate process. (CVE-2019-14846)

  - A flaw was found in the solaris_zone module from the Ansible Community modules. When setting the name for     the zone on the Solaris host, the zone name is checked by listing the process with the 'ps' bare command     on the remote machine. An attacker could take advantage of this flaw by crafting the name of the zone and     executing arbitrary commands in the remote host. Ansible Engine 2.7.15, 2.8.7, and 2.9.2 as well as     previous versions are affected. (CVE-2019-14904)

  - A vulnerability was found in Ansible Engine versions 2.9.x before 2.9.3, 2.8.x before 2.8.8, 2.7.x before     2.7.16 and earlier, where in Ansible's nxos_file_copy module can be used to copy files to a flash or     bootflash on NXOS devices. Malicious code could craft the filename parameter to perform OS command     injections. This could result in a loss of confidentiality of the system among other issues.
    (CVE-2019-14905)

  - A flaw was found in Ansible Engine, all versions 2.7.x, 2.8.x and 2.9.x prior to 2.7.17, 2.8.9 and 2.9.6     respectively, when using ansible_facts as a subkey of itself and promoting it to a variable when inject is     enabled, overwriting the ansible_facts after the clean. An attacker could take advantage of this by     altering the ansible_facts, such as ansible_hosts, users and any other key data which would lead into     privilege escalation or code injection. (CVE-2020-10684)

  - A flaw was found in Ansible Engine affecting Ansible Engine versions 2.7.x before 2.7.17 and 2.8.x before     2.8.11 and 2.9.x before 2.9.7 as well as Ansible Tower before and including versions 3.4.5 and 3.5.5 and     3.6.3 when using modules which decrypts vault files such as assemble, script, unarchive, win_copy, aws_s3     or copy modules. The temporary directory is created in /tmp leaves the s ts unencrypted. On Operating     Systems which /tmp is not a tmpfs but part of the root partition, the directory is only cleared on boot     and the decryp emains when the host is switched off. The system will be vulnerable when the system is not     running. So decrypted data must be cleared as soon as possible and the data which normally is encrypted     ble. (CVE-2020-10685)

  - An archive traversal flaw was found in all ansible-engine versions 2.9.x prior to 2.9.7, when running     ansible-galaxy collection install. When extracting a collection .tar.gz file, the directory is created     without sanitizing the filename. An attacker could take advantage to overwrite any file within the system.
    (CVE-2020-10691)

  - A flaw was found in the use of insufficiently random values in Ansible. Two random password lookups of the     same length generate the equal value as the template caching action for the same file since no re-     evaluation happens. The highest threat from this vulnerability would be that all passwords are exposed at     once for the file. This flaw affects Ansible Engine versions before 2.9.6. (CVE-2020-10729)

  - An Improper Output Neutralization for Logs flaw was found in Ansible when using the uri module, where     sensitive data is exposed to content and json output. This flaw allows an attacker to access the logs or     outputs of performed tasks to read keys used in playbooks from other users within the uri module. The     highest threat from this vulnerability is to data confidentiality. (CVE-2020-14330)

  - A flaw was found in the Ansible Engine when using module_args. Tasks executed with check mode (--check-     mode) do not properly neutralize sensitive data exposed in the event data. This flaw allows unauthorized     users to read this data. The highest threat from this vulnerability is to confidentiality.
    (CVE-2020-14332)

  - A race condition flaw was found in Ansible Engine 2.7.17 and prior, 2.8.9 and prior, 2.9.6 and prior when     running a playbook with an unprivileged become user. When Ansible needs to run a module with become user,     the temporary directory is created in /var/tmp. This directory is created with umask 77 && mkdir -p     <dir>; this operation does not fail if the directory already exists and is owned by another user. An     attacker could take advantage to gain control of the become user as the target directory can be retrieved     by iterating '/proc/<pid>/cmdline'. (CVE-2020-1733)

  - A flaw was found in the pipe lookup plugin of ansible. Arbitrary commands can be run, when the pipe lookup     plugin uses subprocess.Popen() with shell=True, by overwriting ansible facts and the variable is not     escaped by quote plugin. An attacker could take advantage and run arbitrary commands by overwriting the     ansible facts. (CVE-2020-1734)

  - A flaw was found in the Ansible Engine when the fetch module is used. An attacker could intercept the     module, inject a new path, and then choose a new destination path on the controller node. All versions in     2.7.x, 2.8.x and 2.9.x branches are believed to be vulnerable. (CVE-2020-1735)

  - A flaw was found in Ansible Engine when a file is moved using atomic_move primitive as the file mode     cannot be specified. This sets the destination files world-readable if the destination file does not exist     and if the file exists, the file could be changed to have less restrictive permissions before the move.
    This could lead to the disclosure of sensitive data. All versions in 2.7.x, 2.8.x and 2.9.x branches are     believed to be vulnerable. (CVE-2020-1736)

  - A flaw was found in Ansible 2.7.17 and prior, 2.8.9 and prior, and 2.9.6 and prior when using the Extract-     Zip function from the win_unzip module as the extracted file(s) are not checked if they belong to the     destination folder. An attacker could take advantage of this flaw by crafting an archive anywhere in the     file system, using a path traversal. This issue is fixed in 2.10. (CVE-2020-1737)

  - A flaw was found in Ansible Engine when the module package or service is used and the parameter 'use' is     not specified. If a previous task is executed with a malicious user, the module sent can be selected by     the attacker using the ansible facts file. All versions in 2.7.x, 2.8.x and 2.9.x branches are believed to     be vulnerable. (CVE-2020-1738)

  - A flaw was found in Ansible 2.7.16 and prior, 2.8.8 and prior, and 2.9.5 and prior when a password is set     with the argument password of svn module, it is used on svn command line, disclosing to other users     within the same node. An attacker could take advantage by reading the cmdline file from that particular     PID on the procfs. (CVE-2020-1739)

  - A flaw was found in Ansible Engine when using Ansible Vault for editing encrypted files. When a user     executes ansible-vault edit, another user on the same computer can read the old and new secret, as it is     created in a temporary file with mkstemp and the returned file descriptor is closed and the method     write_data is called to write the existing secret in the file. This method will delete the file before     recreating it insecurely. All versions in 2.7.x, 2.8.x and 2.9.x branches are believed to be vulnerable.
    (CVE-2020-1740)

  - A flaw was found in the Ansible Engine affecting Ansible Engine versions 2.7.x before 2.7.17 and 2.8.x     before 2.8.11 and 2.9.x before 2.9.7 as well as Ansible Tower before and including versions 3.4.5 and     3.5.5 and 3.6.3 when the ldap_attr and ldap_entry community modules are used. The issue discloses the LDAP     bind password to stdout or a log file if a playbook task is written using the bind_pw in the parameters     field. The highest threat from this vulnerability is data confidentiality. (CVE-2020-1746)

  - A security flaw was found in Ansible Engine, all Ansible 2.7.x versions prior to 2.7.17, all Ansible 2.8.x     versions prior to 2.8.11 and all Ansible 2.9.x versions prior to 2.9.7, when managing kubernetes using the     k8s module. Sensitive parameters such as passwords and tokens are passed to kubectl from the command line,     not using an environment variable or an input configuration file. This will disclose passwords and tokens     from process list and no_log directive from debug module would not have any effect making these secrets     being disclosed on stdout and log files. (CVE-2020-1753)

  - A flaw was found in ansible module where credentials are disclosed in the console log by default and not     protected by the security feature when using the bitbucket_pipeline_variable module. This flaw allows an     attacker to steal bitbucket_pipeline credentials. The highest threat from this vulnerability is to     confidentiality. (CVE-2021-20178, CVE-2021-20180)

  - A flaw was found in ansible. Credentials, such as secrets, are being disclosed in console log by default     and not protected by no_log feature when using those modules. An attacker can take advantage of this     information to steal those credentials. The highest threat from this vulnerability is to data     confidentiality. Versions before ansible 2.9.18 are affected. (CVE-2021-20191)

  - A flaw was found in the Ansible Engine 2.9.18, where sensitive info is not masked by default and is not     protected by the no_log feature when using the sub-option feature of the basic.py module. This flaw allows     an attacker to obtain sensitive information. The highest threat from this vulnerability is to     confidentiality. (CVE-2021-20228)

Note that Nessus has not tested for this issue but has instead relied only on the application's self-reported version number.

遠端主機受到 GLSA-202006-11 中所述的弱點影響 (Ansible：多個弱點)

    在 Ansible 中發現多個弱點。如需詳細資訊，請檢閱下方提及的 CVE 識別碼。
  影響：

    如需詳細資料，請檢閱提及的 CVE 識別碼。
  因應措施：

    目前尚無已知的因應措施。

ID	名前	製品	ファミリー	公開日	更新日	深刻度
135298	Photon OS 2.0: Ansible PHSA-2020-2.0-0226	Nessus	PhotonOS Local Security Checks	2020/4/10	2024/7/22	high
135779	Photon OS 3.0: Ansible PHSA-2020-3.0-0078	Nessus	PhotonOS Local Security Checks	2020/4/21	2024/7/24	high
159049	openSUSE 15 セキュリティ更新: ansible (openSUSE-SU-2022:0081-1)	Nessus	SuSE Local Security Checks	2022/3/17	2023/11/3	high
137448	GLSA-202006-11 ：Ansible：多个漏洞	Nessus	Gentoo Local Security Checks	2020/6/17	2024/3/7	high
137448	GLSA-202006-11 : Ansible: Multiple vulnerabilities	Nessus	Gentoo Local Security Checks	2020/6/17	2024/3/7	high
159049	openSUSE 15 Security Update : ansible (openSUSE-SU-2022:0081-1)	Nessus	SuSE Local Security Checks	2022/3/17	2023/11/3	high
137448	GLSA-202006-11 : Ansible：多個弱點	Nessus	Gentoo Local Security Checks	2020/6/17	2024/3/7	high

検出

プラグインの検索

high

high

high

high

high

high

high