CVE-2026-115414 – Problem mit der Einschleusung von Betriebssystembefehlen im SAM-CLI-Terraform-Hook
Bulletin-ID: 2026-145-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Veröffentlichungsdatum: 22.10.2026 11:30 Uhr PDT
Beschreibung:
AWS SAM CLI ist ein Open-Source-Framework für die Erstellung von Serverless-Anwendungen. Wir haben CVE-2026-115414 identifiziert, ein Problem mit der Einschleusung von Betriebssystembefehlen im Terraform-Hook (sam build --hook-name terraform) in der AWS SAM CLI. Der Terraform-Hook generiert ein Makefile-Rezept, das eine Terraform-Ressourcenadresse interpoliert, ohne Shell-Metazeichen vollständig zu neutralisieren. Dies könnte es einem Akteur, der die von einem Build verwendete Terraform-Konfiguration oder Plandatei beeinflussen kann, ermöglichen, als Build-Benutzer auf dem Host, auf dem der Build ausgeführt wird, beliebige Befehle auszuführen.
Betroffene Versionen: >=1.63.0, <=1.166.1
Lösung:
Dieses Problem wurde in AWS SAM CLI Version v1.166.2 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.
Problemumgehungen:
Stellen Sie sicher, dass die Terraform-Konfigurationsdateien und Plandateien, die von sam build --hook-name terraform verwendet werden, nur aus vertrauenswürdigen Quellen stammen, und überprüfen Sie Terraform-Module und gemeinsam genutzte Repositorys von Drittanbietern, die Eingaben für den Build liefern. Ein Upgrade auf eine korrigierte Version ist die empfohlene Abhilfe.
Referenzen:
Danksagung:
Wir möchten Shubham Raj von Cipher by Causal Security für die Zusammenarbeit bei diesem Problem im Rahmen des koordinierten Prozesses zur Offenlegung von Schwachstellen danken.
Bei Fragen oder Bedenken zum Thema Sicherheit wenden Sie sich bitte per E-Mail an aws-security@amazon.com .