CVE-2021-20253: Escalação de Privilégios via Escape de Job Isolation no Ansible Tower

Foi encontrada uma falha no ansible-tower. A instalação padrão é vulnerável ao escape de Job Isolation, permitindo que um atacante eleve o privilégio de um usuário com privilégios baixos para o usuário awx a partir de fora do ambiente isolado. A maior ameaça desta vulnerabilidade é à confidencialidade e integridade dos dados, bem como à disponibilidade do sistema.

Divulgação do fornecedor:

A divulgação e a correção do fornecedor para esta vulnerabilidade podem ser encontradas aqui.

Requisitos:

Esta vulnerabilidade requer:

• Ser capaz de executar comandos no ambiente de isolamento no Ansible Tower
• Ter acesso de baixo privilégio ao sistema operacional

Prova de Conceito:

Mais detalhes e o processo de exploração podem ser encontrados neste PDF.