CVE-2021-20253: Повышение привилегий через обход изоляции заданий в Ansible Tower

В ansible-tower обнаружена ошибка. Установка по умолчанию уязвима к обходу изоляции заданий, что позволяет злоумышленнику повысить привилегии от малопривилегированного пользователя до пользователя awx извне изолированной среды. Наибольшая угроза от этой уязвимости — конфиденциальность и целостность данных, а также доступность системы.

Раскрытие информации вендором:

Раскрытие информации и исправление этой уязвимости от вендора можно найти здесь.

Требования:

Эта уязвимость требует:

• Возможность выполнять команды в изолированной среде Ansible Tower
• Наличие малопривилегированного доступа к ОС

Доказательство концепции:

Более подробная информация и процесс эксплуатации можно найти в этом PDF.