• +54 (011) 4323-9362
  • |
  • de Lun a Vie de 9 a 17 hs
  • |
  • ciberseguridad@ba-csirt.gob.ar

############################
|A|L|E|R|T|A|S| |B|A|-|C|S|I|R|T|
############################

Cross-site Request Forgery en Ansible Tower

27/08/2018

=============================================
CVE-2018-10884
Fecha de lanzamiento: 23/08/2018
Gravedad: Alta
=============================================

VULNERABILIDAD

La vulnerabilidad podría permitir a un atacante remoto llevar a cabo un ataque ‘cross-site request forgery’ que permita el robo de la cookie de autenticación.

INFORMACIÓN

Ansible es un proyecto de software libre publicado en 2012 y adquirida por Red Hat en 2015. Se trata de una herramienta de orquestación en múltiples equipos de tareas, muy popular entre los administradores de sistema ya que les permita desplegar distintos tipos de tareas (como actualizar configuraciones y lanzar comandos) en distintas máquinas de forma simultánea.

DESCRIPCIÓN

La vulnerabilidad se encuentra concretamente en Ansible Tower, una interfaz web para administrar Ansible. El fallo se encuentra localizado en el fichero ‘awx/api/authentication.py’ y podría permitir la realización de un ataque CSRF (Cross-site Request Forgery) para engañar a usuarios autentificados para que visiten un sitio malicioso y secuestrar de esta manera la cookie de autenticación.

SISTEMAS AFECTADOS

El problema de seguridad afecta a las versiones anteriores a la 3.1.8 y 3.2.6

SOLUCIÓN

Actualizar a las versiones 3.1.8 y 3.2.6, las cuales corrigen el error.

FUENTE

https://hispasec.com/es/