🇰🇷 한글 설명
Ansible Automation Platform(AAP) 게이트웨이에서 권한 우회 취약점이 발견되었습니다. 인증된 관리자가 임의의 서비스 키를 생성하여 Controller 서비스를 사칭하는 토큰을 위조할 수 있으며, OIDC 워크로드 ID 기능이 활성화된 경우 HashiCorp Vault와 같은 외부 리소스에서 권한 밖의 비밀 정보를 탈취할 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 공격자가 가짜 신분증을 만들어 시스템을 속일 수 있는 보안 구멍입니다. 이를 통해 원래는 볼 수 없는 중요한 비밀번호나 데이터에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
An authorization bypass was found in the Ansible Automation Platform (AAP) gateway. The gateway API allows an authenticated administrator to create a new service key for the Controller service cluster. Because service-key creation is not restricted to the installer-provisioned provisioning path, an administrator-issued key is cryptographically indistinguishable from a legitimate one and can be used to forge a service-authentication token that impersonates the Controller service. Combined with the gateway OIDC workload-identity endpoint (enabled via FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED), the attacker can drive the gateway to sign Workload Identity Tokens (WITs) for arbitrary Controller workloads. A downstream resource server such as HashiCorp Vault that trusts the gateway OIDC key will accept the forged WIT and return the AAP credentials bound to that workload, disclosing secrets beyond the attacker's authorization boundary.
📍 영향받는 시스템
Ansible Automation Platform (AAP) Gateway (FEATURE_OIDC_WORKLOAD_IDENTITY_ENABLED 활성화 시)
⚔️ 공격 벡터
인증된 관리자가 임의의 서비스 키를 생성하여 위조된 Workload Identity Token(WIT)을 발급받고 외부 리소스에 접근
🛡️ 대응 방법
제조사에서 제공하는 최신 보안 패치를 적용하거나, 불필요한 경우 OIDC 워크로드 ID 기능을 비활성화하십시오.
🔧 검증 코드
설치된 AAP의 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 제조사 보안 권고문과 대조하십시오.
ansible-automation-platform --version 2>/dev/null | grep -E 'version'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:N/A:N
💻 영향받는 소프트웨어
Microsoft Entra Provisioning Service