Ansible fails to properly mark lookup-plugin results as unsafe

NGHIÊM TRỌNG 9.8CVE-2017-7481 · GHSA-w578-j992-554x · PYSEC-2018-41 · Công bố 19/07/2018 · cập nhật 17/06/2026

Tóm tắt nhanh

CVE-2017-7481 là lỗ hổng mức NGHIÊM TRỌNG (CVSS 9.8) ảnh hưởng ansible, ansible engine (redhat), gluster storage (redhat).
Xác suất bị khai thác trong 30 ngày tới (EPSS): 4.8%, cao hơn 91.9% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.2.3.0, 2.3.1.0, 2.4.0.0, 2.1.6.0 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
ansible PyPI	`≥ 2.2.0.0, < 2.2.3.0≥ 2.3.0.0, < 2.3.1.0≥ 2.3.2.0, < 2.4.0.0< 2.1.6.0< 2.3.1.0`	`2.2.3.02.3.1.02.4.0.02.1.6.0`
ansible engine redhat	`≥ 2.3.2.0, < 2.4.0.0< 2.3.1.0`	`2.4.0.02.3.1.0`
gluster storage redhat	`= 3.2`	Chưa có bản vá
openshift container platform redhat	`= 3.3= 3.4= 3.5`	Chưa có bản vá
openstack redhat	`= 10= 11`	Chưa có bản vá
storage console redhat	`= 2.0`	Chưa có bản vá
virtualization redhat	`= 4.1`	Chưa có bản vá
virtualization manager redhat	`= 4.1`	Chưa có bản vá

Mô tả

Ansible before versions 2.1.6.0, 2.2.3.0, 2.3.1.0, and 2.4.0.0 fails to properly mark lookup-plugin results as unsafe. If an attacker could control the results of lookup() calls, they could inject Unicode strings to be parsed by the jinja2 templating system, resulting in code execution. By default, the jinja2 templating language is now marked as 'unsafe' and is not evaluated.

Mô tả của NVD

Ansible before versions 2.3.1.0 and 2.4.0.0 fails to properly mark lookup-plugin results as unsafe. If an attacker could control the results of lookup() calls, they could inject Unicode strings to be parsed by the jinja2 templating system, resulting in code execution. By default, the jinja2 templating language is now marked as 'unsafe' and is not evaluated.