CVE-2021-3447

Se encontró un fallo en varios módulos de ansible, donde los parámetros que contenían credenciales, como secretos, se registraban en texto plano en los nodos administrados, y también se hacían visibles en el nodo del controlador cuando se ejecutaban en modo detallado. Estos parámetros no estaban protegidos por la función no_log. Un atacante puede aprovechar esta información para robar esas credenciales, siempre que tenga acceso a los archivos de registro que las contienen. La mayor amenaza de esta vulnerabilidad es la confidencialidad de los datos. Este fallo afecta a Red Hat Ansible Automation Platform en versiones anteriores a 1.2.2 y Ansible Tower en versiones anteriores a 3.8.2.

A flaw was found in several ansible modules, where parameters containing credentials, such as secrets, were being logged in plain-text on managed nodes, as well as being made visible on the controller node when run in verbose mode. These parameters were not protected by the no_log feature. An attacker can take advantage of this information to steal those credentials, provided they have access to the log files containing them. The highest threat from this vulnerability is to data confidentiality.