Debian DLA-2535-1：ansible 安全更新

critical Nessus 插件 ID 145531

语言：

简介

远程 Debian 主机缺少安全更新。

描述

CVE-2017-7481

Ansible 未能将 lookup-plugin 结果正确标记为不安全。攻击者若能够控制 lookup() 调用结果，可注入 Unicode string 令 jinja2 模板系统进行解析，导致代码执行。在默认情况下，jinja2 模板语言当前标记为“不安全”，不执行 evaluate。

CVE-2019-10156

实施 Ansible 模板的方式中发现一个缺陷，此缺陷可能通过非预期变量替换造成信息泄露。通过利用非预期变量替换，可能泄露任何变量的内容。

CVE-2019-14846

Ansible 在调试级别登录，如果插件使用的库记录了调试级别的凭据，此操作会导致凭据泄露。此缺陷不会影响 Ansible 模块，因为这些模块在单独进程中执行。

CVE-2019-14904

在 Ansible Community 模块的 solaris_zone 模块中发现一个缺陷。在 Solaris 主机上设置区域名称时，可以通过在远程计算机上使用“ps”bare 命令列出进程来检查区域名称。攻击者可通过构建区域名称并在远程主机中执行任意命令，来利用此缺陷。

对于 Debian 9 stretch，已在版本 2.2.1.0-2+deb9u2 中修复这些问题。S

建议您升级 ansible 程序包。

如需了解 ansible 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/ansible

注意：Tenable Network Security 已直接从 DLA 安全公告中提取上述描述块。Tenable 已尝试在不引入其他问题的情况下尽可能进行了自动清理和排版。