CVE-2026-115414 - SAM CLI Terraform 钩子中的操作系统命令注入问题
公告 ID： 2026-145-AWS
范围：AWS
内容类型：重要提示（需要注意）
发布日期：2026 年 10 月 22 日上午 11:30（太平洋夏令时）
描述：
AWS SAM CLI 是一个用于构建无服务器应用程序的开源框架。我们发现了 CVE-2026-115414，这是 AWS SAM CLI 的 Terraform 钩子（sam build --hook-name terraform）中的操作系统命令注入问题。该 Terraform 钩子在生成 Makefile 指令时，会插入 Terraform 资源地址，但未能充分过滤 Shell 特殊字符。如果行为者能够影响构建过程中所使用的 Terraform 配置文件或计划文件，就有可能以执行构建的用户身份，在运行构建的主机上执行任意命令。
受影响的版本： >=1.63.0, <=1.166.1
解决方案：
此问题已在 AWS SAM CLI 版本 v1.166.2 中得到解决。建议您升级到最新版本，并确保对所有分叉代码或衍生代码进行修补，以纳入新的修复程序。
临时措施：
确保 sam build --hook-name terraform 所使用的 Terraform 配置文件和计划文件均来自可信来源，并对构建过程中涉及的第三方 Terraform 模块及共享存储库进行审计。建议的补救措施是升级到已修复的版本。
参考：
致谢：
感谢 Cipher by Causal Security 的 Shubham Raj 通过协调漏洞披露流程就此问题与我们协作。
如有任何安全问题或疑虑，请发送电子邮件至 aws-security@amazon.com。