Event-driven-ansible: inyección de plantillas a través de la rama y refspec de git en proyectos eda

La vulnerabilidad CVE-2025-49521 permite a un atacante autenticado ejecutar código arbitrario en el worker de EDA. Esto se logra inyectando código malicioso dentro de los valores de rama o refspec de Git, que son evaluados como plantillas Jinja2. El atacante puede entonces ejecutar comandos del sistema operativo, acceder a archivos confidenciales, o incluso comprometer la infraestructura subyacente. En entornos OpenShift, la explotación exitosa de esta vulnerabilidad podría resultar en el robo de tokens de la cuenta de servicio, permitiendo al atacante escalar privilegios y obtener acceso no autorizado a recursos críticos. La severidad de esta vulnerabilidad es alta debido a la facilidad de explotación y el potencial impacto en la confidencialidad, integridad y disponibilidad del sistema.

Organizations heavily reliant on Event-Driven Ansible for automation workflows, particularly those deploying Ansible Automation Platform within OpenShift environments, are at significant risk. Legacy configurations with permissive Git access controls and shared hosting environments where multiple users have access to the EDA worker are also particularly vulnerable.

• python / server:

import os
import subprocess
# Example: Check for suspicious Jinja2 template usage in EDA worker logs
with open('/var/log/eda/worker.log', 'r') as f:
    for line in f:
        if 'jinja2.Environment.from_string' in line:
            print(f'Potential Jinja2 template injection attempt: {line}')

• python / supply-chain: Monitor EDA worker processes for unusual command-line arguments or network connections. • generic web: Review EDA worker access logs for requests containing suspicious Git branch or refspec values.

1. 2025-06-30Disclosure

   disclosure

1. Reservado2025-06-06
2. Publicada2025-06-30
3. Modificada2025-11-13
4. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-49521 es actualizar a una versión de Event-Driven Ansible que contenga la corrección. Dado que la versión corregida es '*', se recomienda contactar a Red Hat para obtener la versión más reciente y segura. Como medida temporal, se puede restringir el acceso a las ramas y refspec de Git, validando y sanitizando estrictamente las entradas proporcionadas por el usuario. Además, se recomienda revisar y fortalecer las políticas de control de acceso en OpenShift para mitigar el riesgo de robo de tokens de la cuenta de servicio. Después de la actualización, confirme la corrección revisando los registros del sistema en busca de intentos de inyección de código malicioso.