یک آسیب‌پذیری امنیتی با شناسه CVE-2026-94416 در درگاه (Gateway) پلتفرم اتوماسیون Ansible (AAP) شناسایی شده است که منجر به دور زدن مکانیزم‌های احراز هویت (Authorization Bypass) می‌شود.
جزئیات فنی آسیب‌پذیری
در این نقص امنیتی، API مربوط به Gateway به مدیران احراز هویت شده اجازه می‌دهد تا کلید سرویس (Service Key) جدیدی برای کلاستر سرویس Controller ایجاد کنند. مشکل اصلی این است که فرآیند ایجاد کلید سرویس تنها به مسیرهای Provisioning که توسط نصب‌کننده (Installer) تعریف شده محدود نشده است.
تاثیرات امنیتی
- جعل هویت: کلیدهای صادر شده توسط مدیران از نظر رمزنگاری با کلیدهای قانونی غیرقابل تشخیص هستند.
- سوءاستفاده از توکن‌ها: مهاجم می‌تواند از این کلیدها برای جعل توکن‌های احراز هویت سرویس (Service-Authentication Token) استفاده کند.
- جعل سرویس: این قابلیت به مهاجم اجازه می‌دهد تا خود را به جای سرویس Controller معرفی کرده و دسترسی‌های غیرمجاز کسب نماید.
