CVE-2020-10691

描述

An archive traversal flaw was found in all ansible-engine versions 2.9.x prior to 2.9.7, when running ansible-galaxy collection install. When extracting a collection .tar.gz file, the directory is created without sanitizing the filename. An attacker could take advantage to overwrite any file within the system.

如何修補 CVE-2020-10691

要修補 CVE-2020-10691,請將受影響套件升級到下列已修補版本。

• —升級至 2.9.7-r0 或更新版本
• —升級至 2.9.7-r0 或更新版本
• —升級至 2.9.7+dfsg-1 或更新版本
• —升級至 2.9.7 或更新版本
• —升級至 2.9.7 或更新版本

CVE-2020-10691 正在被利用嗎?

低 — EPSS 為 0.4%,目前沒有觀察到大規模利用活動。

受影響套件(5)

• from 0, < 2.9.7-r0
• from 0, < 2.9.7-r0
• from 0, < 2.9.7+dfsg-1
• >= 2.9.0a1, < 2.9.7
• >= 2.9.0, < 2.9.7

CVSS 分數

參考連結(9)

• ADVISORYgithub.com/advisories/GHSA-3c67-gc48-983w
• ADVISORYnvd.nist.gov/vuln/detail/CVE-2020-10691
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2020-10691
• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2020-10691
• PATCH