Debian DLA-2535-1：ansible 安全性更新

critical Nessus Plugin ID 145531

語系：

概要

遠端 Debian 主機缺少一個安全性更新。

說明

CVE-2017-7481

Ansible 無法將 lookup-plugin 結果正確標示為不安全。若攻擊者可控制 lookup() 呼叫的結果，他們就可以注入供 jinja2 範本化系統剖析的 Unicode 字串，進而導致程式碼執行。依預設，jinja2 範本化語言現已被標記為「不安全」，且未加以評估。

CVE-2019-10156

發現 Ansible 範本的實作方式存在缺陷，透過非預期的變數替換有可能造成資訊洩漏。藉由利用非預期的變數替換，可以洩漏任何變數的內容。

CVE-2019-14846

Ansible 在 DEBUG 層級記錄，如果外掛程式使用在 DEBUG 層級記錄憑證的程式庫，這會導致憑證洩漏。此瑕疵不會影響 Ansible 模組，因為這些模組會在獨立的處理程序中執行。

CVE-2019-14904

在 Ansible Community 模組的 solaris_zone 模組中發現一個缺陷。在 Solaris 主機上設定區域名稱時，可藉由在遠端計算機上使用「ps」bare 命令列出程序來檢查此區域名稱。攻擊者可利用此缺陷，來構建此區域的名稱並在遠端主機中執行任意命令。

針對 Debian 9 Stretch，已在 2.2.1.0-2+deb9u2 版本中修正這些問題。

建議您升級 ansible 套件。

如需有關 ansible 安全性狀態的詳細資訊，請參閱其安全追蹤頁面：
https://security-tracker.debian.org/tracker/ansible

注意：Tenable Network Security 已直接從 DLA 安全性公告擷取前置描述區塊。Tenable 已盡量在不造成其他問題的前提下，嘗試自動清理並將其格式化。