CVE-2026-115414 – Problème d’injection de commandes du système d’exploitation dans le hook Terraform de la CLI SAM
ID du bulletin : 2026-145-AWS
Portée : AWS
Type de contenu : important (nécessite une attention particulière)
Date de publication : 22/10/2026 11 h 30 (heure du Pacifique)
Description :
AWS SAM CLI est un framework open source pour la création d’applications sans serveur. Nous avons identifié CVE-2026-115414, un problème d’injection de commande du système d’exploitation dans le hook Terraform (sam build --hook-name terraform) dans AWS SAM CLI. Le hook Terraform génère une recette Makefile qui interpole une adresse de ressource Terraform sans neutraliser complètement les métacaractères du shell, ce qui pourrait permettre à un acteur susceptible d’influencer la configuration Terraform ou le fichier de plan consommé par un build d’exécuter des commandes arbitraires en tant qu’utilisateur de build sur l’hôte exécutant le build.
Versions concernées : >=1.63.0, <=1.166.1
Résolution :
Ce problème a été résolu dans la version v1.166.2 d’AWS SAM CLI. Nous vous recommandons de passer à la dernière version et d’appliquer les nouveaux correctifs à tout code forké ou dérivé.
Solutions de contournement :
Assurez-vous que les fichiers de configuration et les fichiers de plan Terraform consommés par sam build --hook-name terraform proviennent uniquement de sources fiables, et auditez les modules Terraform tiers et les référentiels partagés qui fournissent des données d’entrée au build. La mise à niveau vers une version corrigée est la mesure corrective recommandée.
Références :
Remerciements :
Nous tenons à remercier Shubham Raj de Cipher by Causal Security pour sa collaboration sur ce problème, dans le cadre du processus coordonné de divulgation de vulnérabilité.
Veuillez envoyer un e-mail à aws-security@amazon.com si vous avez des questions ou des préoccupations relatives à la sécurité.