CVE-2021-20253 : Élévation de privilèges via l'évasion de l'isolation des travaux dans Ansible Tower

Une faille a été trouvée dans ansible-tower. L'installation par défaut est vulnérable à l'évasion de l'isolation des travaux, permettant à un attaquant d'élever ses privilèges d'un utilisateur à faibles privilèges vers l'utilisateur awx depuis l'extérieur de l'environnement isolé. La plus grande menace de cette vulnérabilité concerne la confidentialité et l'intégrité des données ainsi que la disponibilité du système.

Divulgation du fournisseur :

La divulgation du fournisseur et le correctif pour cette vulnérabilité peuvent être trouvés ici.

Exigences :

Cette vulnérabilité nécessite :

• De pouvoir exécuter des commandes dans l'environnement d'isolation d'Ansible Tower
• De disposer d'un accès à faibles privilèges au système d'exploitation

Preuve de concept :

Plus de détails et le processus d'exploitation peuvent être trouvés dans ce PDF.