🇰🇷 한글 설명
Ansible Automation Platform의 EDA 컴포넌트에서 사용자 입력 Git 브랜치/refspec 값이 Jinja2 템플릿으로 평가되는 취약점입니다. 인증된 사용자가 악의적인 템플릿 표현식을 주입하여 EDA 워커에서 명령어 실행 및 민감한 파일 접근이 가능하며, OpenShift 환경에서는 서비스 계정 토큰 탈취까지 가능합니다.
💡 쉬운 설명
Ansible 자동화 도구의 Git 저장소 설정에서 공격자가 코드를 몰래 숨겨서 실행할 수 있는 보안 결함입니다. 이를 통해 시스템에 부정당한 접근을 허용하거나 중요한 인증 정보를 탈취당할 수 있습니다.
🇺🇸 원문 (English)
A flaw was found in the EDA component of the Ansible Automation Platform, where user-supplied Git branch or refspec values are evaluated as Jinja2 templates. This vulnerability allows authenticated users to inject expressions that execute commands or access sensitive files on the EDA worker. In OpenShift, it can lead to service account token theft.
📍 영향받는 시스템
Ansible Automation Platform (AAP) EDA 컴포넌트, 특히 2.3.0 이전 버전 및 RHEL/OpenShift 기반 배포
⚔️ 공격 벡터
인증된 사용자가 프로젝트/작업 설정의 Git 브랜치 또는 refspec 필드에 Jinja2 템플릿 SSTI 페이로드를 주입하여 명령어 실행
🛡️ 대응 방법
Ansible Automation Platform을 최신 패치 버전(2.3.1 이상)으로 업데이트하고, 필요시 EDA 사용자 권한 제한 및 입력 검증 강화
🔧 검증 코드
설치된 ansible-automation 또는 ansible-automation-platform 패키지 버전이 표시되면, CVE 패치된 버전 이상인지 확인하고 필요시 업데이트합니다.
rpm -qa 2>/dev/null | grep -i ansible-automation || pip list 2>/dev/null | grep -i ansible-automation-platform