Ansible Automation Platform: host_config_key لو می‌رود و callback به RCE می‌رسد

۲۳ سپتامبر ۲۰۲۶ رد هت RHSA-2026:71115 را Critical برای Ansible Automation Platform منتشر کرد. بسته روی automation-controller می‌نشیند و هشت CVE دارد؛ سرخطش CVE-2026-84474 با CVSS ۹٫۹ است.

سناریو از دو اشتباه کنار هم ساخته می‌شود. اول، کلید host_config_key برای کاربرانی که فقط نقش read-only view_jobtemplate دارند قابل خواندن می‌شود. دوم، وقتی AAP پشت gateway خودش قرار می‌گیرد و به هدر X-Forwarded-For اعتماد می‌کند، مهاجم می‌تواند هویت host را در مسیر provisioning callback جعل کند. نتیجه: به‌جای اینکه فقط یک job template را ببیند، callback را به nativeی که کنترل می‌کند هدایت می‌کند و روی managed hostها به remote code execution می‌رسد. این باگ «نیاز به ادمین کامل» نیست؛ کافی است کسی view_jobtemplate داشته باشد و مسیر اعتماد به proxy غلط تنظیم شده باشد.

بقیهٔ بسته هم سبک نیست:

• CVE-2026-84502 — argument injection روی git که خودش به RCE می‌رسد
• escalation با pod_spec_override روی OpenShift
• SSRF به سمت Vault و سرقت token
• چند authorization bypass جدا

اگر AAP را فقط برای «اجرای playbook از UI» می‌دانید، این advisory همان کنترل‌پلین automation را هدف گرفته. آپدیت Critical را از errata اعمال کنید، نقش‌های view_* را دوباره مرور کنید، و اعتماد به X-Forwarded-For پشت gateway را با پیکربندی واقعی ترافیک بسنجید نه با فرض پیش‌فرض.