SUSE corrige CVE-2026-89091 en ansible-core
SUSE corrigió CVE-2026-89091 en ansible-core 2.18.3 para SLES 16.0. Una colección manipulada podía sobrescribir archivos y ejecutar código con los privilegios de quien la instalara.
Qué puede hacer una colección
SUSE publicó el 3 de noviembre la revisión final 2 de SUSE-SU-2026:24464-1, una actualización de seguridad para ansible-core. Corrige CVE-2026-89091 con el paquete ansible-core-2.18.3-160000.5.1.noarch, destinado a SUSE Linux Enterprise Server 16.0 y SUSE Linux Enterprise Server for SAP Applications 16.0. No es un fallo del motor al ejecutar un playbook: está en el proceso que instala colecciones en el nodo de control.
Al instalar una colección con ansible-galaxy collection install, Ansible extrae un archivo tar y valida las rutas con normalización léxica. No resuelve correctamente los enlaces simbólicos de directorio antes de crear las entradas; una colección preparada para explotar esa diferencia puede encadenar symlinks y hacer que un archivo posterior se escriba fuera del directorio de destino. El registro de SUSE describe el impacto como sobrescritura de archivos arbitrarios con los privilegios del usuario que ejecuta la instalación.
El resultado puede ser ejecución de código en el nodo de control, no una ejecución remota automática en todos los servidores administrados. El atacante necesita que alguien instale la colección manipulada; el vector CVSS 3.1 marca interacción de usuario requerida y no exige privilegios previos. En un controlador con permisos amplios, sin embargo, el usuario que instala puede tener acceso a inventarios, credenciales o repositorios que convierten una colección no revisada en una puerta bastante más grande que su propio directorio.
-InfraCrew dice: Ansible puede desplegar cambios en cientos de hosts; el instalador de colecciones también merece una revisión antes de pulsar «sí».-
La vulnerabilidad es además un bypass de la corrección de CVE-2020-10691, según la descripción técnica de SUSE. Eso la sitúa en una zona incómoda: no basta con recordar que el viejo fallo tuvo parche, porque el problema nuevo está en cómo se valida una estructura de directorios con symlinks durante la extracción. El control relevante es el paquete del instalador que realmente corre en cada nodo de control.
El parche publicado y el alcance
La revisión 2 del aviso CSAF figura como final y lleva fecha de publicación del 3 de noviembre. Para SLES 16.0 y SLES for SAP Applications 16.0, SUSE recomienda el paquete 2.18.3-160000.5.1; el propio aviso indica los métodos de actualización recomendados por SUSE, incluidos YaST online_update y zypper patch. El CVE recibe severidad importante y una puntuación de 8,8, pero la interacción requerida sigue siendo parte del escenario, no una nota al pie para olvidar.
Conviene no extender ese paquete a todas las distribuciones SUSE por parecido de nombre. El CSAF enumera dos productos SUSE Linux Enterprise 16.0 para esta actualización. La página general del CVE muestra otros productos en estados afectados o en progreso, y todavía dice que no hay avisos de seguridad cruzados; esa página indica como última modificación el 19 de octubre, anterior a la revisión CSAF del 3 de noviembre. Para conocer el estado más reciente de esta corrección, manda el aviso específico y la rama de producto, no una lectura aislada de la ficha general.
-InfraCrew dice: una ficha sin actualizar no deshace un parche publicado; sí puede hacer que alguien espere al parche equivocado.-
En operación, el inventario debe incluir los nodos de control desde los que se instalan colecciones, no solo los servidores destino de los playbooks. Comprueba el producto SUSE exacto, la versión instalada de ansible-core y el canal de actualización disponible; después registra el paquete corregido y valida que los controladores previstos recibieron el cambio. Para instalaciones fuera de SLES 16.0, verifica el estado propio de su producto en SUSE antes de asumir que este paquete es aplicable.
El requisito de instalar una colección manipulada también ayuda a revisar el proceso de dependencias: qué fuentes pueden publicar colecciones, quién las aprueba y desde qué identidad se realiza la instalación. La actualización corrige el defecto del extractor en los productos indicados; la procedencia y los permisos del nodo de control siguen siendo parte de la defensa frente a paquetes de automatización hostiles.
-InfraCrew dice: el playbook no es el único código que despliegas; a veces el riesgo llegó empaquetado en lo que necesitabas instalar para ejecutarlo.-
Diccionario de la Crew
Colección de Ansible — Paquete distribuible de módulos, roles y otros componentes que amplía Ansible y que se instala en los nodos de control.
Nodo de control — Equipo desde el que se ejecutan herramientas de Ansible y se administran hosts; en este contexto, es donde el instalador puede sobrescribir archivos.
Symlink — Enlace simbólico del sistema de archivos que apunta a otra ruta; una cadena de estos enlaces puede salir del directorio previsto si el extractor no la resuelve y valida correctamente.
