CVE-2026-84502
Publiée le 2026-09-23 · Dernière modification le 2026-09-24
Les utilisateurs disposant des permissions de base pour créer ou modifier des projets dans l'automation-controller de Red Hat Ansible Automation Platform peuvent exécuter des commandes arbitraires sur le pod de tâches du plan de contrôle en saisissant une URL spécifiquement conçue. Comme le système ne valide pas l'URL du projet, un attaquant peut tromper le module git sous-jacent pour lui faire exécuter des commandes système au lieu de récupérer un dépôt. Cette attaque est facile à réaliser via le réseau et ne nécessite qu'un accès authentifié de bas niveau à une seule organisation pour compromettre potentiellement l'ensemble du cluster.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A flaw was found in Red Hat Ansible Automation Platform's automation- controller. The Project scm_url field is not validated against values that begin with a dash and is stored and passed verbatim to the git SCM module. Because the module runs git ls-remote with the URL as a positional argument and without a "--" separator, a git project URL such as "--upload-pack=<command>:x" is interpreted by git as the --upload-pack option and executed via a shell. A user with permission to create or modify a project in a single organization can thereby execute arbitrary commands on the control-plane task pod, with output reflected through the project update stdout endpoint, leading to cross-tenant compromise and in-cluster lateral movement