CVE-2026-115414: Problema de inyección de comandos del sistema operativo en el enlace de Terraform de SAM CLI
ID del boletín: 2026-145-AWS
Alcance: AWS
Tipo de contenido: Importante (requiere atención)
Fecha de publicación: 22/10/2026 11:30 h PDT
Descripción:
AWS SAM CLI es un marco de código abierto para crear aplicaciones sin servidor. Identificamos la vulnerabilidad CVE-2026-115414, un problema de inyección de comandos del sistema operativo en el enlace de Terraform (sam build --hook-name terraform) de AWS SAM CLI. El enlace de Terraform genera una receta de Makefile que interpola una dirección de recurso de Terraform sin neutralizar por completo los metacaracteres del intérprete de comandos, lo que podría permitir a un actor que pueda influir en el archivo de configuración o plan de Terraform consumido por una compilación ejecutar comandos arbitrarios como usuario de la compilación en el host que ejecuta la compilación.
Versiones afectadas: >=1.63.0, <=1.166.1
Resolución:
Este problema se solucionó en la versión v1.166.2 de AWS SAM CLI. Recomendamos actualizar a la versión más reciente y asegurarse de que cualquier código bifurcado o derivado se haya parcheado para incorporar las nuevas correcciones.
Soluciones alternativas:
Asegúrese de que los archivos de configuración y los archivos de plan de Terraform que consume sam build --hook-name terraform provengan solo de fuentes confiables y audite los módulos de Terraform de terceros y los repositorios compartidos que proporcionan información a la compilación. La remediación recomendada es actualizar a una versión que incorpore la corrección.
Referencias:
Reconocimiento:
Nos gustaría dar las gracias a Shubham Raj de Cipher by Causal Security por colaborar en este asunto a través del proceso coordinado de divulgación de vulnerabilidades.
Envíe un correo electrónico a aws-security@amazon.com si tiene alguna pregunta o inquietud sobre seguridad.