CVE-2026-115414 - Problema di iniezione di comandi del sistema operativo nell’hook Terraform di SAM CLI
ID Bollettino: 2026-145-AWS
Ambito: AWS
Tipo di contenuto: Importante (richiede attenzione)
Data di pubblicazione: 22/10/2026 11:30 PDT
Descrizione:
AWS SAM CLI è un framework open source per la creazione di applicazioni serverless. Abbiamo identificato la vulnerabilità CVE-2026-115414, relativa all’iniezione di comandi del sistema operativo nell’hook Terraform (sam build --hook-name terraform) in AWS SAM CLI. L’hook Terraform genera una ricetta Makefile che interpola un indirizzo di risorsa Terraform senza neutralizzare completamente i metacaratteri della shell. Ciò potrebbe consentire a un attore in grado di influenzare la configurazione di Terraform o il file di piano impiegato da una build, di eseguire comandi arbitrari come utente della build sull’host che esegue la build.
Versioni interessate: >=1.63.0, <=1.166.1
Risoluzione:
Questo problema è stato risolto nella versione v1.166.2 di AWS SAM CLI. Per incorporare le nuove correzioni, consigliamo di eseguire l’aggiornamento alla versione più recente e di assicurarsi che siano state applicate le patch a qualsiasi codice derivato o di cui è stato eseguito il fork.
Soluzioni alternative:
È necessario assicurarsi che i file di configurazione e i file del piano Terraform impiegati da sam build --hook-name terraform provengano esclusivamente da fonti attendibili. Inoltre, è necessario verificare i moduli Terraform di terze parti e i repository condivisi che forniscono input alla build. L’aggiornamento a una versione corretta è la soluzione consigliata.
Riferimenti:
Ringraziamenti:
Desideriamo ringraziare Shubham Raj di Cipher by Causal Security per aver collaborato alla risoluzione di questo problema attraverso il processo coordinato di divulgazione delle vulnerabilità.
Invia un’e-mail a aws-security@amazon.com per eventuali domande o dubbi sulla sicurezza.