CVE-2021-20253: Escalata dei Privilegi tramite Escapade dall'Isolamento dei Job in Ansible Tower

È stata trovata una falla in ansible-tower. L'installazione predefinita è vulnerabile a un escapade dall'isolamento dei job che consente a un attaccante di elevare i privilegi da un utente con privilegi bassi all'utente awx dall'esterno dell'ambiente isolato. La minaccia maggiore di questa vulnerabilità riguarda la riservatezza e l'integrità dei dati, nonché la disponibilità del sistema.

Divulgazione del Fornitore:

La divulgazione e la correzione di questa vulnerabilità da parte del fornitore possono essere trovate qui.

Requisiti:

Questa vulnerabilità richiede:

• Essere in grado di eseguire comandi nell'ambiente isolato in Ansible Tower
• Avere accesso con privilegi bassi al sistema operativo

Prova di Concetto:

Maggiori dettagli e il processo di sfruttamento possono essere trovati in questo PDF.