CVE-2021-20253: Ansible Towerにおけるジョブ分離エスケープを介した権限昇格

ansible-towerに欠陥が見つかりました。デフォルトインストールはジョブ分離エスケープに対して脆弱であり、攻撃者が分離環境の外部から低権限ユーザーの権限をawxユーザーに昇格させることが可能です。この脆弱性による最大の脅威は、データの機密性と整合性、およびシステムの可用性に対するものです。

ベンダー開示:

この脆弱性に関するベンダーの開示と修正はこちらで確認できます。

要件:

この脆弱性には以下が必要です:

• Ansible Towerの分離環境でコマンドを実行できること
• OSへの低権限アクセスを有していること

概念実証:

詳細と悪用手順は、このPDFに記載されています。