Amazon Linux 2：ansible (ALASANSIBLE2-2023-009)

high Nessus Plugin ID 182053

語系：

概要

遠端 Amazon Linux 2 主機缺少安全性更新。

說明

遠端主機上安裝的 ansible 為 2.9.5-1 之前版本。因此，會受到 ALAS2ANSIBLE2-2023-009 公告中所提及的多個弱點影響。

- 在 Ansible Community 模組的 solaris_zone 模組中發現一個缺陷。在 Solaris 主機上設定區域名稱時，可藉由在遠端計算機上使用「ps」bare 命令列出程序來檢查此區域名稱。攻擊者可利用此缺陷，來構建此區域的名稱並在遠端主機中執行任意命令。Ansible Engine 2.7.15、2.8.7 、2.9.2 以及更早版本受到影響。(CVE-2019-14904)

- 在 2.9.3 之前的 2.9.x 版、2.8.8 之前的 2.8.x 版、2.7.16 之前的 2.7.x 版及更舊版本的 Ansible Engine 中發現一個弱點，其中 Ansible 的 nxos_file_copy 模組可用於將檔案複製到 NXOS 裝置上的 flash 或 bootflash。惡意程式碼可特製 filename 參數以執行 OS 命令插入。這可導致系統缺乏機密性及其他問題。
(CVE-2019-14905)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼。