Ansible fails to properly mark lookup-plugin results as unsafe

緊急 9.8CVE-2017-7481 · GHSA-w578-j992-554x · PYSEC-2018-41 · 19/07/2018 公開 · 17/06/2026 更新

要点

CVE-2017-7481 は ansible, ansible engine (redhat), gluster storage (redhat) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：4.8%（全脆弱性の 91.9% より高い）。
対処：2.2.3.0, 2.3.1.0, 2.4.0.0, 2.1.6.0 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
ansible PyPI	`≥ 2.2.0.0, < 2.2.3.0≥ 2.3.0.0, < 2.3.1.0≥ 2.3.2.0, < 2.4.0.0< 2.1.6.0< 2.3.1.0`	`2.2.3.02.3.1.02.4.0.02.1.6.0`
ansible engine redhat	`≥ 2.3.2.0, < 2.4.0.0< 2.3.1.0`	`2.4.0.02.3.1.0`
gluster storage redhat	`= 3.2`	修正版なし
openshift container platform redhat	`= 3.3= 3.4= 3.5`	修正版なし
openstack redhat	`= 10= 11`	修正版なし
storage console redhat	`= 2.0`	修正版なし
virtualization redhat	`= 4.1`	修正版なし
virtualization manager redhat	`= 4.1`	修正版なし

概要

Ansible before versions 2.1.6.0, 2.2.3.0, 2.3.1.0, and 2.4.0.0 fails to properly mark lookup-plugin results as unsafe. If an attacker could control the results of lookup() calls, they could inject Unicode strings to be parsed by the jinja2 templating system, resulting in code execution. By default, the jinja2 templating language is now marked as 'unsafe' and is not evaluated.

NVD の説明

Ansible before versions 2.3.1.0 and 2.4.0.0 fails to properly mark lookup-plugin results as unsafe. If an attacker could control the results of lookup() calls, they could inject Unicode strings to be parsed by the jinja2 templating system, resulting in code execution. By default, the jinja2 templating language is now marked as 'unsafe' and is not evaluated.