CVE-2026-48032
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
W Hulumi przed wersją 1.4.0, kontrole zasad dotyczących ról IAM mogą zostać ominięte, gdy rola ufa wielu dostawcom OIDC.
Ocena ryzyka
Organizacja ryzykuje, że atakujący może uzyskać nieautoryzowane uprawnienia IAM, omijając kontrole bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Hulumi do wersji 1.4.0 lub nowszej.
Inne podatności w Hulumi
Zobacz wszystkie- CVE-2026-48037Średnie
Hulumi przed wersją 1.4.0 zawiera podatność, w której ścieżki ponownego użycia AccountFoundation po cichu obniżają poziom bezpieczeństwa GuardDuty / Security Hub. Problem został naprawiony w wersji 1.4.0.
- CVE-2026-48036Wysokie
W Hulumi przed wersją 1.4.0, wykrywanie dryfu (drift detection) uruchamiane w CI/cron mogło błędnie buforować przejściowe błędy adaptera jako „wszystko w porządku”, maskując rzeczywiste ataki przez do sześciu godzin, lub fałszywie podnosić zwykłe zmiany wersji dostawcy do poziomu incydentu.
- CVE-2026-48035Wysokie
W Hulumi przed wersją 1.4.0, użytkownicy AccountFoundation mogli wdrożyć konto AWS, którego dzienniki audytu CloudTrail/Config były usuwalne przez dowolnego podmiotu z uprawnieniami S3-delete, mimo że warstwa startowa gwarantowała odporność na manipulacje. Wdrożenia w piaskownicy nie miały żadnej niezmienności audytu.
- CVE-2026-48034Wysokie
W Hulumi przed wersją 1.4.0 istnieje możliwość obejścia zabezpieczeń poprzez użycie zasobów-córek (sibling resources) kierujących do innego bucketa.
- CVE-2026-48033Wysokie
W Hulumi przed wersją 1.4.0, pakiety zasad (policy packs) mogą zostać ominięte poprzez sfałszowaną logiczną nazwę Pulumi-URN.
Oryginalny opis (angielski, źródło NVD)
Hulumi is an open-source toolkit that ships secure-by-default cloud and platform infrastructure components for Pulumi. Prior to version 1.4.0, IAM-role policy checks can be bypassed when the role trusts multiple OIDC providers. This issue has been patched in version 1.4.0.