CVE-2026-84486

Yüksek

Teknik Veri (Otomatik)

CVSS Skoru: 8.2
EPSS: —
CWE: CWE-489
KEV Durumu: Hayır

Red Hat Ansible Automation Platform'in automation-controller'ında bir güvenlik açığı bulundu. İç tarea, bağımlılık ve iş akışı zamanlayıcılarını tetikleyen dört hata ayıklama görünümü, herhangi bir kullanıcıya (kimlik doğrulamayan istemciler dahil) izin vermek için yapılandırılmış ve üretim derlemelerinde debug ayarına bağlı olmadığından URL'leri yönlendirilmiştir. Kimlik doğrulamayan bir uzaktan saldırgan bu uç noktaları tekrar tekrar çağırmak suretiyle küme geneli zamanlayıcı danışma kilidini edinebilir; meşru zamanlayıcı aynı kilidi beklemeksizin edindiği için saldırgan gerçek zamanlayıcı çalıştırmasının atlanmasına neden olur ve tüm kiracılar için iş dağıtımı dururken aynı zamanda denetleyici web işleyicilerini tüketir. Hata ayıklama kök görünümü ayrıca hata ayıklama uç noktalarının listesini kimlik doğrulamayan çağrılara ifşa eder.

Orijinal açıklama (İngilizce)

A flaw was found in Red Hat Ansible Automation Platform's automation- controller. Four debug views that trigger the internal task, dependency, and workflow schedulers are configured to allow any user (including unauthenticated clients) and are routed in production builds because their URL include is not gated on the debug setting. An unauthenticated remote attacker can repeatedly invoke these endpoints to acquire the cluster-wide scheduler advisory lock; because the legitimate scheduler acquires the same lock without waiting, the attacker causes real scheduler runs to be skipped, stalling job dispatch for all tenants, while also consuming controller web workers. The debug root view additionally discloses the list of debug endpoints to unauthenticated callers.

Referanslar

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.