CVE-2024-58375
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
OpenTofu w wersjach od 1.8.0 do 1.8.2 nie ogranicza prawidłowo wrażliwych zmiennych i wartości lokalnych, gdy użytkownicy włączyli statyczną ocenę źródeł modułów, wersji i konfiguracji backendu. W rezultacie wartości oznaczone jako wrażliwe mogą być ujawniane przez te elementy konfiguracji zamiast generować błąd. Problem naprawiono w OpenTofu 1.8.3, które dodaje jawne błędy uniemożliwiające użycie wrażliwych wartości w tych kontekstach.
Ocena ryzyka
Wrażliwe dane, takie jak hasła czy klucze API, mogą zostać ujawnione w konfiguracji, co stanowi poważne ryzyko naruszenia bezpieczeństwa.
Rekomendacja
Zaktualizuj OpenTofu do wersji 1.8.3 lub nowszej, która dodaje jawne błędy dla wrażliwych wartości w konfiguracji.
Inne podatności w OpenTofu
Zobacz wszystkie- CVE-2026-74797Niskie
OpenTofu przed wersją 1.11.4 zawiera podatność na atak typu denial of service w poleceniu tofu init podczas przetwarzania złośliwie spreparowanych archiwów .zip dla pakietów providerów lub modułów. Atakujący mogą spowodować nadmierne zużycie CPU, kontrolując zawartość archiwum .zip serwowanego podczas instalacji zależności, co obniża wydajność systemu i uniemożliwia terminowe zakończenie procesu init.
- CVE-2026-74796Średnie
OpenTofu przed wersją 1.11.7 nie weryfikuje istniejących dowiązań symbolicznych w katalogu pamięci podręcznej dostawców podczas inicjalizacji. Atakujący mogą umieścić złośliwe dowiązanie symboliczne w zaufanym katalogu roboczym, aby spowodować, że polecenie tofu init zapisze zawartość pakietów dostawców w dowolnych lokalizacjach w systemie plików poza drzewem roboczym.
Oryginalny opis (angielski, źródło NVD)
OpenTofu versions 1.8.0 through 1.8.2 do not properly restrict sensitive variables and locals when users have opted into static evaluation of module sources, versions, and backend configurations. As a result, values marked as sensitive may be exposed through these configuration elements instead of producing an error. This is fixed in OpenTofu 1.8.3, which adds explicit errors to prevent the use of sensitive values in these contexts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS