CVE-2026-115414: problema de injeção de comando do sistema operacional no hook do Terraform do SAM CLI
ID do boletim: 2026-145-AWS
Escopo: AWS
Tipo de conteúdo: importante (requer atenção)
Data de publicação: 22/10/2026 11h30 PDT
Descrição:
O AWS SAM CLI é um framework de código aberto para criar aplicações sem servidor. Identificamos o CVE-2026-115414, um problema de injeção de comando do sistema operacional no hook do Terraform (sam build --hook-name terraform) no AWS SAM CLI. O hook do Terraform gera uma receita do Makefile que interpola um endereço de recurso do Terraform sem neutralizar totalmente os metacaracteres do shell, o que pode permitir que um agente que consiga influenciar a configuração do Terraform ou o arquivo de plano consumido por uma compilação execute comandos arbitrários como o usuário da compilação no host que está executando a compilação.
Versões afetadas: >=1.63.0, <=1.166.1
Resolução:
Esse problema foi resolvido na versão v1.166.2 do AWS SAM CLI. Recomendamos atualizar para a versão mais recente e garantir que qualquer código bifurcado ou derivado seja corrigido para incorporar as novas correções.
Soluções alternativas:
Certifique-se de que os arquivos de configuração do Terraform e os arquivos de plano consumidos pelo sam build --hook-name terraform venham somente de fontes confiáveis e audite os módulos e repositórios compartilhados do Terraform de terceiros que fornecem entrada para a compilação. A atualização para uma versão fixa é a correção recomendada.
Referências:
Reconhecimento:
Gostaríamos de agradecer a Shubham Raj da Cipher by Causal Security pela colaboração nessa questão por meio do processo coordenado de divulgação de vulnerabilidades.
Envie um e-mail para aws-security@amazon.com com qualquer dúvida ou preocupação relacionada à segurança.