CVE-2026-84724
Publiée le 2026-09-23 · Dernière modification le 2026-09-26
L'automation-controller de l'Ansible Automation Platform est affecté par une faille dans sa gestion des variables de tâches système (system-job variables). Un utilisateur authentifié disposant de privilèges de superutilisateur peut injecter des arguments de ligne de commande arbitraires dans le processus du plan de contrôle, permettant potentiellement de manipuler le chemin de recherche des modules du système. Bien que cela nécessite un accès administratif de haut niveau via le réseau, cela ne permet pas actuellement l'exécution complète de code à distance car un déclencheur secondaire nécessaire est absent des commandes du système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An argument-injection flaw was found in the Ansible Automation Platform automation-controller system-job subsystem. The system-job template launch endpoint stores a user-supplied "days" variable without running the integer validation defined elsewhere for that field, and the dispatcher flattens the management-command argument list into a single string with spaces before the job runner re-splits it, so spaces in the value become additional command-line arguments. Because system jobs are executed in-process on the control node without the container isolation applied to all other job types, an authenticated user with superuser privileges can inject arbitrary arguments — including Python's path option — into the control-plane awx-manage process, controlling its argument vector and the first entry of its module search path. Full remote code execution requires an additional import gadget that is not present in the current management commands, so the demonstrated impact is argument injection with control of the process search path rather than confirmed code execution.