【漏洞通告】Ansible路徑遍歷漏洞（CVE-2023-5115）
一、漏洞概述
|
漏洞名稱 |
Ansible路徑遍歷漏洞 |
||
|
CVE ID |
CVE-2023-5115 |
||
|
漏洞類型 |
路徑遍歷 |
發現時間 |
2024-01-02 |
|
漏洞評分 |
6.3 |
漏洞等級 |
中危 |
|
攻擊向量 |
網路 |
所需許可權 |
低 |
|
利用難度 |
低 |
使用者互動 |
需要 |
|
PoC/EXP |
未知 |
在野利用 |
未知 |
Ansible是一款基於Python的自動化運維工具，可以實現批量系統配置、批量程序部署、批量運行命令等功能。
2024年1月2日，啟明星辰VSRC監測到Ansible中存在一個絕對路徑遍歷漏洞（CVE-2023-5115）。
威脅者可製作惡意 Ansible 角色存檔並誘導受害者執行，通過符號連結攻擊覆蓋提取路徑之外的檔案。當使用「ansible-galaxy role install」安裝惡意創建的 Ansible 角色時，使用者可訪問的任意檔案可能會被覆蓋。
二、影響範圍
Ansible版本 2.14.11
Ansible版本 2.15.5
Ansible版本 2.16.0
三、安全措施
3.1升級版本
目前該漏洞已經修復，受影響使用者可升級到Ansible 2.14.11、2.15.5、2.16.0及更高版本，或Ansible-core 8.5及更高版本。
下載連結：
https://github.com/ansible/ansible/releases
3.2臨時措施
暫無。
3.3通用建議
定期更新系統補丁，減少系統漏洞，提升伺服器的安全性。
加強系統和網路的訪問控制，修改防火牆策略，關閉非必要的應用埠或服務，減少將危險服務（如SSH、RDP等）暴露到公網，減少攻擊面。
使用企業級安全產品，提升企業的網路安全性能。
加強系統使用者和許可權管理，啟用多因素認證機制和最小許可權原則，使用者和軟體許可權應保持在最低限度。
啟用強密碼策略並設置為定期修改。
3.4參考連結
https://github.com/ansible/ansible/pull/81780
https://nvd.nist.gov/vuln/detail/CVE-2023-5115