注目★★★★★GitHub Advisory
Ansible FreeBSD ジェイル接続プラグイン、シンリンク追従で root 権限逃亡脆弱性（2.0.0で修正）
30秒で把握
- 1Ansible jailexec 1.3.0 以前で put_file のシンリンク追従により jail 脱出・ホスト root 書き込み可能
- 2jail 内の攻撃者が symlink を配置すると cron・rc.d・authorized_keys 改ざんで全ホスト侵害につながる
- 32.0.0 で修正済み・jexec 経由転送により chroot 内限定化・FreeBSD jail 運用チームは即更新推奨
要約
Ansible の jailexec 接続プラグイン 1.3.0 以前に、put_file 処理でシンリンク追従により jail からホストへの任意の root 書き込みを引き起こす脆弱性が存在した。ホスト側で root 権限で実行される mkdir -p と mv がシンリンクをたどるため、jail 内の攻撃者が symlink を配置すると、ホスト外部への root 書き込みが可能になる。その結果 cron・rc.d・authorized_keys などが改ざんされ、ホスト全体が侵害される。2.0.0 で修正され、ファイル転送は jexec 経由で jail 内部で実行されるようになり、すべてのパス解決が jail の chroot 内に限定された。
あなたへの影響
Ansible で FreeBSD jail を運用するチームは即座に 2.0.0 へアップグレード必須。
推奨：特に jail 内部コンテンツを Ansible が操作する copy・template・fetch タスクを使っている場合、1.3.0 以前ではホスト全体が侵害される可能性があるため、今日中にバージョン確認と update 計画を実施してください。