CVE-2026-115414 – SAM CLI Terraform 勾點中的作業系統命令注入問題
公告 ID： 2026-145-AWS
範圍：AWS
內容類型：重要 (需要注意)
發布日期： 2026 年 10 月 22 日上午 11:30 (太平洋夏令時間)
描述：
AWS SAM CLI 是用於建置無伺服器應用程式的開放原始碼架構。我們發現 CVE-2026-115414，這是 AWS SAM CLI 中 Terraform 勾點 (sam build --hook-name terraform) 的作業系統命令注入問題。Terraform 勾點會產生 Makefile 配方，該配方在未完全中和 shell 中繼字元的情況下插入 Terraform 資源位址，這可能讓能夠影響建置所使用之 Terraform 組態或計畫檔的執行者，以執行建置之主機上的建置使用者身分執行任意命令。
受影響的版本： >=1.63.0 且 <=1.166.1
解決方案：
此問題已在 AWS SAM CLI v1.166.2 版中得以解決。我們建議升級至最新版本，並確保任何分支或衍生程式碼皆已套用修補程式，以納入新的修正。
變通方法：
請確保 sam build --hook-name terraform 所使用的 Terraform 組態檔和計畫檔僅來自受信任的來源，並稽核提供建置輸入的第三方 Terraform 模組和共用儲存庫。我們建議的修補方式是升級至已修正版本。
參考資料：
致謝：
我們誠摯感謝 Cipher by Causal Security 的 Shubham Raj 透過協調式漏洞揭露流程，與我們合作處理此問題。
如有任何安全性問題或疑慮，請寄電子郵件至 aws-security@amazon.com 。