CVE-2026-47356
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 40 - wyżej niż 40% wszystkich znanych CVE
Streszczenie
Terrascan w wersji 1.18.3 i wcześniejszych jest podatny na SSRF (Server-Side Request Forgery) przez parametr webhook_url w endpointcie skanowania plików (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) w trybie serwera. Nieuwierzytelniony atakujący może podać dowolny URL, a Terrascan wyśle do niego wyniki skanowania z tokenem webhook.
Ocena ryzyka
Atak SSRF może prowadzić do wycieku wrażliwych danych (wyników skanowania) do zewnętrznego serwera atakującego oraz potencjalnie do dalszych ataków na wewnętrzne zasoby.
Rekomendacja
Ponieważ Terrascan został zarchiwizowany w sierpniu 2023 i nie będzie wydana łatka, zaleca się zaprzestanie używania Terrascan w trybie serwera lub zastosowanie dodatkowych zabezpieczeń sieciowych (np. firewall, uwierzytelnianie).
Inne podatności w Terrascan
Zobacz wszystkie- CVE-2026-47358Wysokie
Terrascan v1.18.3 i starsze są podatne na SSRF przez zewnętrzne rozwiązywanie URL w przesłanych szablonach IaC w trybie serwera. Nieuwierzytelniony atakujący może przesłać szablon ARM lub CloudFormation z polem wskazującym na kontrolowany URL, co powoduje pobranie go po stronie serwera. Możliwe jest również odczytanie lokalnych plików za pomocą schematu file://.
- CVE-2026-47357Wysokie
Terrascan v1.18.3 i starsze są podatne na SSRF przez parametr remote_url w endpointcie skanowania zdalnego katalogu w trybie serwera. Nieuwierzytelniony atakujący może podać URL HTTP, który jest przekazywany do go-getter bez walidacji. Go-getter wspiera nagłówek X-Terraform-Get, umożliwiający przekierowanie do file:// URL, co pozwala na odczyt lokalnych plików. Dodatkowo odczytywany jest plik ~/.netrc, co może ujawnić poświadczenia.
Oryginalny opis (angielski, źródło NVD)
Terrascan v1.18.3 and prior are vulnerable to Server-Side Request Forgery (SSRF) via the webhook_url parameter in the file scan endpoint (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) when running in server mode. An unauthenticated remote attacker can supply an arbitrary URL as the webhook_url multipart form parameter. After scanning the uploaded file, Terrascan sends an HTTP POST request to the attacker-controlled URL containing the full scan results as a JSON body, with the attacker-supplied webhook_token forwarded as a Bearer token in the Authorization header. The retryable HTTP client retries up to 10 times on failure. This affects deployments running terrascan in server mode (terrascan server), which binds to 0.0.0.0 with no authentication. Note: Terrascan was archived in August 2023 and no patch will be released.