CVE-2026-84486
Beschrijving NL
Er is een fout gevonden in de automatisering van het Red Hat Ansible Automation Platform-
controller. Vier foutopsporingsweergaven die de interne taak, afhankelijkheid en
workflowplanners zijn geconfigureerd om elke gebruiker (inclusief niet-geverifieerde
clients) en worden gerouteerd in productie-builds omdat hun URL-vermelding niet
gated op de debug-instelling. Een niet-geverifieerde externe aanvaller kan herhaaldelijk
deze eindpunten inroepen om de clusterbrede planner adviesvergrendeling te verkrijgen;
omdat de legitieme planner hetzelfde slot verwerft zonder te wachten, de
aanvaller zorgt ervoor dat echte plannerruns worden overgeslagen, waardoor de opdrachtverzending voor
alle huurders, terwijl ook controller-webwerkers worden gebruikt. De rootweergave voor foutopsporing
onthult bovendien de lijst met debug-eindpunten aan niet-geverifieerde bellers.
Origineel (Engels) tonen
A flaw was found in Red Hat Ansible Automation Platform's automation-
controller. Four debug views that trigger the internal task, dependency, and
workflow schedulers are configured to allow any user (including unauthenticated
clients) and are routed in production builds because their URL include is not
gated on the debug setting. An unauthenticated remote attacker can repeatedly
invoke these endpoints to acquire the cluster-wide scheduler advisory lock;
because the legitimate scheduler acquires the same lock without waiting, the
attacker causes real scheduler runs to be skipped, stalling job dispatch for
all tenants, while also consuming controller web workers. The debug root view
additionally discloses the list of debug endpoints to unauthenticated callers.