Anmelden
Deutsch English Español Polski
Kritisch

Ansible fails to properly mark lookup-plugin results as unsafe

  • Veröffentlicht: 19.07.2018
  • Aktualisiert: 11.10.2026 12:19

Ansible before versions 2.1.6.0, 2.2.3.0, 2.3.1.0, and 2.4.0.0 fails to properly mark lookup-plugin results as unsafe. If an attacker could control the results of lookup() calls, they could inject Unicode strings to be parsed by the jinja2 templating system, resulting in code execution. By default, the jinja2 templating language is now marked as 'unsafe' and is not evaluated.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) ansible >= 2.3.0.0, < 2.3.1.0, < 2.1.6.0, >= 2.2.0.0, < 2.2.3.0 2.3.1.0, 2.1.6.0, 2.2.3.0

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-20
Plattform
Python (PyPI)
Paket
ansible
Veröffentlicht
19.07.2018
Aktualisiert
11.10.2026 12:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2018-41 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-w578-j992-554x - CC BY 4.0

Schwachstellenhistorie: ansible

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (68) im Archiv
Einträge insgesamt
68
Erste → letzte
09.2013 12.2025
Ohne Fix
2
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 9
  • Hoch 24
  • Mittel 27
  • Niedrig 6
  • Nicht bewertet 2

Veröffentlichungen pro Jahr

früher: 4

Schweregrad:
  1. Ansible fails to properly mark lookup-plugin results as unsafe dieser Eintrag
    Kritisch · 9.8 CVE-2017-7481 >= 2.3.0.0, < 2.3.1.0, < 2.1.6.0, >= 2.2.0.0, < 2.2.3.0 2.3.1.0, 2.1.6.0, 2.2.3.0
  2. Ansible leaks password to logs
    Hoch · 7.5 CVE-2022-3697 >= 2.5.0, < 7.0.0 7.0.0
  3. Improper Input Validation and Command Injection in Ansible
    Hoch · 7.1 CVE-2021-3583 < 2.9.23rc1, >= 2.10.0a1, < 2.10.11rc1, >= 2.11.0a1, < 2.11.2rc1 2.9.23rc1, 2.10.11rc1, 2.11.2rc1
  4. Insertion of Sensitive Information into Log File in ansible
    Hoch · 5.5 CVE-2021-20178 < 2.9.18 2.9.18
  5. Ansible Exposes Sensitive Information
    Hoch · 7.5 CVE-2021-20228 >= 2.10.0a1, < 2.10.6rc1, >= 2.9.0a1, < 2.9.18rc1, < 2.8.19rc1 2.10.6rc1, 2.9.18rc1, 2.8.19rc1
  6. OS Command Injection and Improper Input Validation in ansible
    Hoch · 7.3 CVE-2019-14904 < 2.7.16, >= 2.8.0a1, < 2.8.8, >= 2.9.0a1, < 2.9.3 2.7.16, 2.8.8, 2.9.3
  7. Externally Controlled Reference to a Resource in Another Sphere, Improper Input Validation, and External Control of File Name or Path in Ansible
    Hoch · 5.6 CVE-2019-14905 >= 2.7.0a1, < 2.7.16, >= 2.8.0a1, < 2.8.8, >= 2.9.0a1, < 2.9.3 2.7.16, 2.8.8, 2.9.3
  8. Path Traversal in Ansible
    Hoch · 7.8 CVE-2020-1737 >= 2.8.0a1, < 2.8.9, >= 2.9.0a1, < 2.9.6, < 2.7.17 2.8.9, 2.9.6, 2.7.17
  9. OS Command Injection in ansible
    Hoch · 7.4 CVE-2020-1734 >= 2.10.0a1, < 2.10.0rc1, >= 2.9.0a1, < 2.9.11, < 2.8.13 2.10.0rc1, 2.9.11, 2.8.13
  10. The safe_eval function in Ansible before 1.5.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrary code via crafted instructions.
    Kritisch · 9.8 CVE-2014-4657 < 1.5.4 1.5.4
  11. The safe_eval function in Ansible before 1.6.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrary code via crafted instructions. NOTE: this vulnerability ex
    Kritisch · 9.8 CVE-2014-4678 < 1.6.4 1.6.4
  12. Multiple argument injection vulnerabilities in Ansible before 1.6.7 allow remote attackers to execute arbitrary code by leveraging access to an Ansible managed host and providing a crafted fact, as de
    Kritisch · 9.8 CVE-2014-4967 < 1.6.7 1.6.7
  13. Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substrings, which allows remote attackers to execute arbitrary code v
    Kritisch · 9.8 CVE-2014-4966 < 1.6.7 1.6.7
  14. Ansible prior to 1.5.4 mishandles the evaluation of some strings.
    Hoch · 7.5 CVE-2014-2686 < 1.5.4 1.5.4
  15. ansible before versions 2.8.6, 2.7.14, 2.6.20 is vulnerable to a None
    Hoch · 6.5 CVE-2019-14856 >= 2.6.0, < 2.6.20, >= 2.7.0, < 2.7.14, >= 2.8.0, < 2.8.6 2.6.20, 2.7.14, 2.8.6
  16. Exposure of Sensitive Information to an Unauthorized Actor in ansible
    Hoch · 6.5 CVE-2019-10217 >= 2.8.0a1, < 2.8.4 2.8.4
  17. ansible-playbook -k and ansible cli tools, all versions 2.8.x before 2.8.4, all 2.7.x before 2.7.13 and all 2.6.x before 2.6.19, prompt passwords by expanding them from templates as they could contain
    Hoch · 6.5 CVE-2019-10206 >= 2.6.0, < 2.6.19, >= 2.7.0, < 2.7.13, >= 2.8.0, < 2.8.4 2.6.19, 2.7.13, 2.8.4
  18. In Ansible, all Ansible Engine versions up to ansible-engine 2.8.5, ansible-engine 2.7.13, ansible-engine 2.6.19, were logging at the DEBUG level which lead to a disclosure of credentials if a plugin
    Hoch · 7.8 CVE-2019-14846 < 2.6.20, >= 2.7.0, < 2.7.14, >= 2.8.0, < 2.8.6 2.6.20, 2.7.14, 2.8.6
  19. ansible before versions 2.5.14, 2.6.11, 2.7.5 is vulnerable to a information disclosure flaw in vvv+ mode with no_log on that can lead to leakage of sensible data.
    Hoch · 5.3 CVE-2018-16876 >= 2.5.0, < 2.5.14, >= 2.6.0, < 2.6.11, >= 2.7.0, < 2.7.5 2.5.14, 2.6.11, 2.7.5
  20. Ansible "User" module leaks any data which is passed on as a parameter to ssh-keygen. This could lean in undesirable situations such as passphrases credentials passed as a parameter for the ssh-keygen
    Hoch · 7.8 CVE-2018-16837 >= 2.7, < 2.7.1, >= 2.6, < 2.6.7, < 2.5.11 2.7.1, 2.6.7, 2.5.11
  21. Ansible apt_key module does not properly verify key fingerprint
    Hoch · 7.5 CVE-2016-8614 < 2.2.0.0 2.2.0.0
Mehr anzeigen (12) 21 von 33 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.