CVE-2026-115414 – SAM CLI Terraform フックにおける OS コマンドインジェクションの問題
速報 ID: 2026-145-AWS
スコープ: AWS
コンテンツタイプ: 重要 (注意が必要)
公開日: 2026 年 10 月 22 日午前 11 時 30 分 (太平洋夏時間)
説明:
AWS SAM CLI は、サーバーレスアプリケーションを構築するためのオープンソースフレームワークです。AWS は、CVE-2026-115414 を特定しました。これは、AWS SAM CLI の Terraform フック (sam build --hook-name terraform) における OSコマンドインジェクションの問題です。Terraform フックは、シェルのメタ文字を完全に無効化することなく Terraform リソースアドレスを補間する Makefile レシピを生成します。これにより、ビルドが消費する Terraform 設定またはプランファイルに影響を与えることができる攻撃者が、ビルドを実行しているホスト上でビルドユーザーとして任意のコマンドを実行できる可能性があります。
影響を受けるバージョン: >=1.63.0、<=1.166.1
解決方法:
この問題は AWS SAM CLI バージョン v1.166.2 で対処されています。最新バージョンにアップグレードし、フォークしたコードや派生コードにパッチを適用して新しい修正を組み込むことをお勧めします。
回避策:
sam build --hook-name terraform が消費する Terraform 設定ファイルおよびプランファイルが信頼できるソースからのみのものであることを確認し、ビルドへの入力を提供している第三者の Terraform モジュールと共有リポジトリを監査してください。是正として、修正済みのバージョンにアップグレードすることが推奨されます。
参考情報:
謝辞:
協調的脆弱性開示プロセスを通じてこの問題に協力してくださった Cipher by Causal Security の Shubham Raj 氏に感謝いたします。
セキュリティに関する質問や懸念がある場合は、aws-security@amazon.com まで E メールでお問い合わせください。