CVE-2026-47358
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 39 - wyżej niż 39% wszystkich znanych CVE
Streszczenie
Terrascan v1.18.3 i starsze są podatne na SSRF przez zewnętrzne rozwiązywanie URL w przesłanych szablonach IaC w trybie serwera. Nieuwierzytelniony atakujący może przesłać szablon ARM lub CloudFormation z polem wskazującym na kontrolowany URL, co powoduje pobranie go po stronie serwera. Możliwe jest również odczytanie lokalnych plików za pomocą schematu file://.
Ocena ryzyka
Atakujący może odczytać poufne pliki z serwera, co prowadzi do wycieku danych. Brak dostępnej łatki zwiększa ryzyko.
Rekomendacja
Zaprzestań używania Terrascan w trybie serwera lub zastąp go innym narzędziem, ponieważ projekt jest zarchiwizowany i nie otrzyma poprawek.
Inne podatności w Terrascan
Zobacz wszystkie- CVE-2026-47357Wysokie
Terrascan v1.18.3 i starsze są podatne na SSRF przez parametr remote_url w endpointcie skanowania zdalnego katalogu w trybie serwera. Nieuwierzytelniony atakujący może podać URL HTTP, który jest przekazywany do go-getter bez walidacji. Go-getter wspiera nagłówek X-Terraform-Get, umożliwiający przekierowanie do file:// URL, co pozwala na odczyt lokalnych plików. Dodatkowo odczytywany jest plik ~/.netrc, co może ujawnić poświadczenia.
- CVE-2026-47356Wysokie
Terrascan w wersji 1.18.3 i wcześniejszych jest podatny na SSRF (Server-Side Request Forgery) przez parametr webhook_url w endpointcie skanowania plików (POST /v1/{iac}/{iacVersion}/{cloud}/local/file/scan) w trybie serwera. Nieuwierzytelniony atakujący może podać dowolny URL, a Terrascan wyśle do niego wyniki skanowania z tokenem webhook.
Oryginalny opis (angielski, źródło NVD)
Terrascan v1.18.3 and prior are vulnerable to Server-Side Request Forgery (SSRF) via external URL resolution in uploaded IaC templates when running in server mode. When Terrascan parses uploaded ARM templates or CloudFormation templates, it resolves external URLs referenced within those templates via hashicorp/go-getter with all default detectors enabled, including FileDetector. An unauthenticated remote attacker can upload an ARM template containing a templateLink.uri or parametersLink.uri field, or a CloudFormation template containing an AWS::CloudFormation::Stack TemplateURL field, pointing to an attacker-controlled URL. Terrascan will fetch the attacker-controlled URL server-side. Unlike SSRF via the remote scan endpoint, file:// URLs are directly usable without requiring an X-Terraform-Get redirect, enabling local file read. This affects deployments running terrascan in server mode (terrascan server), which binds to 0.0.0.0 with no authentication. Note: Terrascan was archived in August 2023 and no patch will be released.