CVE-2026-115414 - SAM CLI Terraform 후크의 OS 명령 인젝션 문제
공지 ID: 2026-145-AWS
범위: AWS
콘텐츠 유형: 중요(주의 필요)
게시 날짜: 10/22/2026 11:30 AM PDT
설명:
AWS SAM CLI는 서버리스 애플리케이션을 구축하기 위한 오픈 소스 프레임워크입니다. AWS SAM CLI의 Terraform 후크(sam build --hook-name terraform)에서 OS 명령 인젝션 문제인 CVE-2026-115414를 식별했습니다. Terraform 후크는 쉘 메타문자를 완전히 무효화하지 않고 Terraform 리소스 주소를 보간하는 Makefile 레시피를 생성합니다. 이를 통해 빌드가 사용하는 Terraform 구성 또는 계획 파일에 영향을 미칠 수 있는 행위자가 빌드를 실행하는 호스트에서 빌드 사용자 권한으로 임의 명령을 실행할 수 있습니다.
영향을 받는 버전: >=1.63.0, <=1.166.1
해결 방법:
이 문제는 AWS SAM CLI 버전 v1.166.2에서 해결되었습니다. 최신 버전으로 업그레이드하고, 새로운 수정 사항이 반영되도록 포크되거나 파생된 코드에 패치를 적용하는 것이 좋습니다.
임시 해결 방법:
sam build --hook-name terraform에서 사용하는 Terraform 구성 파일과 플랜 파일은 신뢰할 수 있는 출처에서 제공된 것만 사용하고, 빌드에 입력을 제공하는 서드 파티 Terraform 모듈과 공유 리포지토리를 감사하세요. 수정된 버전으로 업그레이드하여 해결하는 것이 좋습니다.
참고 사항:
도움을 주신 분:
조정된 취약성 공개 프로세스를 통해 이 문제에 협력해 주신 Cipher by Causal Security의 Shubham Raj님께 감사드립니다.
보안 관련 질문이나 우려 사항이 있는 경우 aws-security@amazon.com 로 이메일을 보내 주세요.