Um CVE recém-publicado contra o automation-controller do Red Hat Ansible Automation Platform merece atenção imediata. O CVE-2026-84474 permite que um atacante remoto com privilégios mínimos, ou até mesmo não autenticado, dispare job templates contra hosts gerenciados arbitrários e obtenha execução remota de código usando as credenciais já embutidas nesses templates. O raio de impacto abrange toda a infraestrutura gerenciada pelo controller.

O problema central se divide em duas partes. Primeiro, o host_config_key (o segredo de callback de provisionamento) fica visível para qualquer usuário que possua a permissão somente leitura view_jobtemplate. Esse é o tipo de permissão concedida livremente por parecer inofensiva. Não é. Segundo, quando o controller opera atrás do gateway AAP com uma lista de permissão de proxy vazia, ele confia cegamente no cabeçalho X-Forwarded-For fornecido pelo cliente para identificar o host de origem. Combine a exposição do segredo com a falsificação de cabeçalho e um atacante consegue se passar por qualquer host no inventário do job template e acionar sua execução.

Do ponto de vista de IAM, trata-se de uma falha de menor privilégio agravada por uma fronteira de confiança comprometida. O acesso somente leitura a um job template jamais deveria incluir as credenciais ou segredos que autenticam callbacks. Isso é uma falha de design, não uma má configuração da sua parte, mas o impacto operacional recai diretamente sobre o seu time. O problema de confiança no X-Forwarded-For é uma questão de camada separada: a configuração do seu proxy (ou a ausência dela) torna-se um controle de segurança, e uma lista de permissão vazia o elimina por completo. Essas duas fragilidades se encadeiam de forma limpa, o que torna a exploração viável sem privilégios iniciais elevados.

Se você executa o Ansible Automation Platform no seu ambiente, as perguntas imediatas são: quem possui a permissão view_jobtemplate, com que amplitude ela foi concedida, quais job templates têm callbacks de provisionamento habilitados e quais credenciais estão associadas a esses templates? Contas de serviço e credenciais de automação tendem a ser superdimensionadas porque as equipes priorizam "funciona" em vez de "funciona com o acesso mínimo necessário". É exatamente aí que esse hábito cobra seu preço.

Aplique o patch primeiro, mas não pare por aí. Após instalar a correção do fornecedor, audite quais job templates têm host_config_key definido e rotacione esses segredos. Em seguida, revise a configuração da sua lista de permissão de proxy para que o controller não confie em cabeçalhos encaminhados arbitrários. Por fim, analise as atribuições de permissão para view_jobtemplate e questione se cada titular realmente precisa dela. Se não conseguir justificar que um usuário ou conta de serviço específico necessite dessa permissão, remova-a agora.