CVE-2026-126641— Ansible-pylibssh 主机密钥伪造漏洞
一分钟漏洞结论
影响对象
Red Hat Red Hat Ansible Automation Platform 2
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
在 以及 的 连接插件中，发现了一个主机密钥验证漏洞。当启用“首次使用即信任”机制时（即在 连接插件中启用了 ，或在 中启用了 ），若某个已存在于 文件中的主机现在提供了不同的密钥，系统仍会在不发出任何警告的情况下接受该连接。 具体而言， 的 方法将 （密钥已变更）和 状态传递给了原本用于处理未知主机的 策略钩子。因此，内置的 和 类，以及 中基于 的 建模的 类，都会直接添加变更后的密钥并继续建立连接，而不是像 的 路径那样中断连接。 这导致 Ansible 控制器会向替换后的主机进行身份验证，并在该主机上执行任
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-126641 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Ansible-pylibssh: accepts a changed ssh host key when host_key_auto_add is enabled
来源: CVE Program / CVE List V5
Vulnerability Description
A host key verification flaw was found in ansible-pylibssh and in the ansible.netcommon libssh connection plugin. When trust-on-first-use is enabled (host_key_auto_add on the libssh connection plugin, or AutoAddPolicy in ansible-pylibssh), a host that is already present in known_hosts but now presents a different key is accepted without warning. The pylibssh Session.verify_knownhost() method passes the SSH_KNOWN_HOSTS_CHANGED and SSH_KNOWN_HOSTS_OTHER states to the same missing_host_key() policy hook used for unknown hosts, and the bundled AutoAddPolicy/RejectPolicy classes (as well as ansible.netcommon's MyAddPolicy, which is modeled on paramiko's AutoAddPolicy) therefore add the changed key and continue the connection rather than aborting as paramiko's BadHostKeyException path would. As a result the controller authenticates to the substitute host, runs the play there, and appends the new key to known_hosts, which can disclose connection credentials to an attacker performing a machine-in-the-middle attack. Default configurations (host_key_checking enabled, host_key_auto_add unset) are not affected; non-interactive runs fail closed.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N
来源: CVE Program / CVE List V5
Vulnerability Type
未进行实体认证的密钥交换
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| Red Hat | Red Hat Ansible Automation Platform 2 | - |
cpe:/a:redhat:ansible_automation_platform:2
|
|
| Red Hat | Red Hat Ansible Automation Platform 2 | - |
cpe:/a:redhat:ansible_automation_platform:2
|
|
| Red Hat | Red Hat Ansible Automation Platform 2 | - |
cpe:/a:redhat:ansible_automation_platform:2
|
|
| Red Hat | Red Hat Ansible Automation Platform 2 | - |
cpe:/a:redhat:ansible_automation_platform:2
|
|
| Red Hat | Red Hat Ansible Automation Platform 2 | - |
cpe:/a:redhat:ansible_automation_platform:2
|
|
| Red Hat | Red Hat Ansible Automation Platform 2 | - |
cpe:/a:redhat:ansible_automation_platform:2
|
|
二、漏洞 CVE-2026-126641 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-126641 的情报信息
请登录查看更多情报信息。
CVE-2026-126641 其他参考 (2)
同批安全公告 · Red Hat · 2026-11-12 · 共 5 条
| CVE-2026-126643 | 6.5 MEDIUM | Aap-gateway-operator 自动化控制器明文泄露漏洞 |
| CVE-2026-126642 | 6.5 MEDIUM | AWX webhook 凭据分配绕过角色检查致令牌泄露 |
| CVE-2026-71367 | 4.3 MEDIUM | Ansible AWX WebSocket 广播组跨组织作业元数据泄露漏洞 |
| CVE-2026-126644 | 3.9 LOW | Ansible authorized_key 模块目录遍历漏洞 |
IV. Related Vulnerabilities
Same product: Red Hat Ansible Automation Platform 2