Zaloguj się
Deutsch English Español Polski
Średnia

Improper Verification of Cryptographic Signature in ansible

  • Ujawniono: 23.09.2020
  • Aktualizacja: 11.10.2026 12:18

A flaw was found in the Ansible Engine, in ansible-engine 2.8.x before 2.8.15 and ansible-engine 2.9.x before 2.9.13, when installing packages using the dnf module. GPG signatures are ignored during installation even when disable_gpg_check is set to False, which is the default behavior. This flaw leads to malicious packages being installed on the system and arbitrary code executed via package installation scripts. The highest threat from this vulnerability is to integrity and system availability.

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

PlatformaPaczkaPodatne wersjePoprawka w wersji
Python (PyPI) ansible >= 2.8.0a1, < 2.8.15, >= 2.9.0a1, < 2.9.13 2.8.15, 2.9.13

Odnośniki

Ocena CVSS 7.1/10
Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
Słabość (CWE)
CWE-347
Platforma
Python (PyPI)
Paczka
ansible
Ujawniono
23.09.2020
Aktualizacja
11.10.2026 12:18

Źródła i licencje

OSV / GitHub Advisory Database - PYSEC-2020-209 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-m429-fhmv-c6q2 - CC BY 4.0

Historia podatności: ansible

Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (68) w archiwum
Wszystkich wpisów
68
Pierwsza → ostatnia
09.2013 12.2025
Bez poprawki
2
Wykorzystywana w atakach
0

Rozkład istotności

  • Krytyczna 9
  • Wysoka 24
  • Średnia 27
  • Niska 6
  • Nieoceniona 2

Ujawnienia w latach

wcześniej: 4

Istotność:
  1. Ansible leaks password to logs
    Wysoka · 7.5 CVE-2022-3697 >= 2.5.0, < 7.0.0 7.0.0
  2. Improper Input Validation and Command Injection in Ansible
    Wysoka · 7.1 CVE-2021-3583 < 2.9.23rc1, >= 2.10.0a1, < 2.10.11rc1, >= 2.11.0a1, < 2.11.2rc1 2.9.23rc1, 2.10.11rc1, 2.11.2rc1
  3. Insertion of Sensitive Information into Log File in ansible
    Wysoka · 5.5 CVE-2021-20178 < 2.9.18 2.9.18
  4. Ansible Exposes Sensitive Information
    Wysoka · 7.5 CVE-2021-20228 >= 2.10.0a1, < 2.10.6rc1, >= 2.9.0a1, < 2.9.18rc1, < 2.8.19rc1 2.10.6rc1, 2.9.18rc1, 2.8.19rc1
  5. Improper Verification of Cryptographic Signature in ansible ten wpis
    Średnia · 7.1 CVE-2020-14365 >= 2.8.0a1, < 2.8.15, >= 2.9.0a1, < 2.9.13 2.8.15, 2.9.13
  6. OS Command Injection and Improper Input Validation in ansible
    Wysoka · 7.3 CVE-2019-14904 < 2.7.16, >= 2.8.0a1, < 2.8.8, >= 2.9.0a1, < 2.9.3 2.7.16, 2.8.8, 2.9.3
  7. Externally Controlled Reference to a Resource in Another Sphere, Improper Input Validation, and External Control of File Name or Path in Ansible
    Wysoka · 5.6 CVE-2019-14905 >= 2.7.0a1, < 2.7.16, >= 2.8.0a1, < 2.8.8, >= 2.9.0a1, < 2.9.3 2.7.16, 2.8.8, 2.9.3
  8. Path Traversal in Ansible
    Wysoka · 7.8 CVE-2020-1737 >= 2.8.0a1, < 2.8.9, >= 2.9.0a1, < 2.9.6, < 2.7.17 2.8.9, 2.9.6, 2.7.17
  9. OS Command Injection in ansible
    Wysoka · 7.4 CVE-2020-1734 >= 2.10.0a1, < 2.10.0rc1, >= 2.9.0a1, < 2.9.11, < 2.8.13 2.10.0rc1, 2.9.11, 2.8.13
  10. The safe_eval function in Ansible before 1.5.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrary code via crafted instructions.
    Krytyczna · 9.8 CVE-2014-4657 < 1.5.4 1.5.4
  11. The safe_eval function in Ansible before 1.6.4 does not properly restrict the code subset, which allows remote attackers to execute arbitrary code via crafted instructions. NOTE: this vulnerability ex
    Krytyczna · 9.8 CVE-2014-4678 < 1.6.4 1.6.4
  12. Multiple argument injection vulnerabilities in Ansible before 1.6.7 allow remote attackers to execute arbitrary code by leveraging access to an Ansible managed host and providing a crafted fact, as de
    Krytyczna · 9.8 CVE-2014-4967 < 1.6.7 1.6.7
  13. Ansible before 1.6.7 does not prevent inventory data with "{{" and "lookup" substrings, and does not prevent remote data with "{{" substrings, which allows remote attackers to execute arbitrary code v
    Krytyczna · 9.8 CVE-2014-4966 < 1.6.7 1.6.7
  14. Ansible prior to 1.5.4 mishandles the evaluation of some strings.
    Wysoka · 7.5 CVE-2014-2686 < 1.5.4 1.5.4
  15. ansible before versions 2.8.6, 2.7.14, 2.6.20 is vulnerable to a None
    Wysoka · 6.5 CVE-2019-14856 >= 2.6.0, < 2.6.20, >= 2.7.0, < 2.7.14, >= 2.8.0, < 2.8.6 2.6.20, 2.7.14, 2.8.6
  16. Exposure of Sensitive Information to an Unauthorized Actor in ansible
    Wysoka · 6.5 CVE-2019-10217 >= 2.8.0a1, < 2.8.4 2.8.4
  17. ansible-playbook -k and ansible cli tools, all versions 2.8.x before 2.8.4, all 2.7.x before 2.7.13 and all 2.6.x before 2.6.19, prompt passwords by expanding them from templates as they could contain
    Wysoka · 6.5 CVE-2019-10206 >= 2.6.0, < 2.6.19, >= 2.7.0, < 2.7.13, >= 2.8.0, < 2.8.4 2.6.19, 2.7.13, 2.8.4
  18. In Ansible, all Ansible Engine versions up to ansible-engine 2.8.5, ansible-engine 2.7.13, ansible-engine 2.6.19, were logging at the DEBUG level which lead to a disclosure of credentials if a plugin
    Wysoka · 7.8 CVE-2019-14846 < 2.6.20, >= 2.7.0, < 2.7.14, >= 2.8.0, < 2.8.6 2.6.20, 2.7.14, 2.8.6
  19. ansible before versions 2.5.14, 2.6.11, 2.7.5 is vulnerable to a information disclosure flaw in vvv+ mode with no_log on that can lead to leakage of sensible data.
    Wysoka · 5.3 CVE-2018-16876 >= 2.5.0, < 2.5.14, >= 2.6.0, < 2.6.11, >= 2.7.0, < 2.7.5 2.5.14, 2.6.11, 2.7.5
  20. Ansible "User" module leaks any data which is passed on as a parameter to ssh-keygen. This could lean in undesirable situations such as passphrases credentials passed as a parameter for the ssh-keygen
    Wysoka · 7.8 CVE-2018-16837 >= 2.7, < 2.7.1, >= 2.6, < 2.6.7, < 2.5.11 2.7.1, 2.6.7, 2.5.11
Pokaż więcej (14) Widać 20 z 34

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację
Newsletter DockRay

Bezpieczeństwo aplikacji w Twojej skrzynce

Najważniejsze podatności, konkretne zalecenia i praktyczne wskazówki dla Twoich aplikacji. Wybierz technologie i śledź to, co ma znaczenie dla Twojego projektu.

  • Codzienne zestawienie nowych podatności, także krytycznych.
  • Powiadomienia o ważnych aktualizacjach.
  • Praktyczne porady o bezpieczeństwie i monitoringu aplikacji.

Pozostaw puste, aby otrzymywać informacje o wszystkich technologiach.

Polityka prywatności

Zapis jest bezpłatny. Wypiszesz się jednym kliknięciem w wiadomości.