🇰🇷 한글 설명
ansible-core의 ansible-galaxy role install 명령어가 role의 meta/requirements.yml 파일에 포함된 의존성 사양을 처리할 때 발생하는 결함입니다. 인자 구분자가 적절히 중화되지 않아, 악의적인 역할 작성자가 src 필드를 통해 임의의 git 설정 플래그를 주입할 수 있으며 이를 통해 사용자의 시스템에서 임의 코드가 실행될 수 있습니다.
💡 쉬운 설명
안시블(Ansible)에서 새로운 역할을 설치할 때, 악성 코드가 숨겨진 파일을 설치하면 사용자의 컴퓨터가 해킹될 수 있는 문제입니다. 공격자가 특수하게 조작된 설정값을 넣어 사용자의 컴퓨터에서 몰래 명령어를 실행하게 만듭니다.
🇺🇸 원문 (English)
A flaw was found in ansible-core. The ansible-galaxy role install command processes dependency specifications from a role's meta/requirements.yml file. Due to improper neutralization of argument delimiters, a malicious role author can inject arbitrary git configuration flags through the src field. This allows arbitrary code execution on the machine of a user who installs the role via ansible-galaxy role install.
📍 영향받는 시스템
ansible-core (버전 미상, 해당 취약점이 포함된 버전)
⚔️ 공격 벡터
악의적으로 조작된 meta/requirements.yml 파일을 포함한 Ansible Role 설치
🛡️ 대응 방법
ansible-core를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최신 버전인지 보안 공지(Advisory)와 비교하여 확인하십시오.
pip show ansible-core | grep Version