CVE-2026-48036
WysokieCVSS 8.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W Hulumi przed wersją 1.4.0, wykrywanie dryfu (drift detection) uruchamiane w CI/cron mogło błędnie buforować przejściowe błędy adaptera jako „wszystko w porządku”, maskując rzeczywiste ataki przez do sześciu godzin, lub fałszywie podnosić zwykłe zmiany wersji dostawcy do poziomu incydentu.
Ocena ryzyka
Organizacja ryzykuje, że rzeczywiste ataki pozostaną niewykryte przez wiele godzin, a fałszywe alarmy mogą prowadzić do niepotrzebnych reakcji i obciążenia zespołu bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację Hulumi do wersji 1.4.0 lub nowszej.
Inne podatności w Hulumi
Zobacz wszystkie- CVE-2026-48037Średnie
Hulumi przed wersją 1.4.0 zawiera podatność, w której ścieżki ponownego użycia AccountFoundation po cichu obniżają poziom bezpieczeństwa GuardDuty / Security Hub. Problem został naprawiony w wersji 1.4.0.
- CVE-2026-48035Wysokie
W Hulumi przed wersją 1.4.0, użytkownicy AccountFoundation mogli wdrożyć konto AWS, którego dzienniki audytu CloudTrail/Config były usuwalne przez dowolnego podmiotu z uprawnieniami S3-delete, mimo że warstwa startowa gwarantowała odporność na manipulacje. Wdrożenia w piaskownicy nie miały żadnej niezmienności audytu.
- CVE-2026-48034Wysokie
W Hulumi przed wersją 1.4.0 istnieje możliwość obejścia zabezpieczeń poprzez użycie zasobów-córek (sibling resources) kierujących do innego bucketa.
- CVE-2026-48033Wysokie
W Hulumi przed wersją 1.4.0, pakiety zasad (policy packs) mogą zostać ominięte poprzez sfałszowaną logiczną nazwę Pulumi-URN.
- CVE-2026-48032Wysokie
W Hulumi przed wersją 1.4.0, kontrole zasad dotyczących ról IAM mogą zostać ominięte, gdy rola ufa wielu dostawcom OIDC.
Oryginalny opis (angielski, źródło NVD)
Hulumi is an open-source toolkit that ships secure-by-default cloud and platform infrastructure components for Pulumi. Prior to version 1.4.0, consumers running drift detection in CI / cron could see transient adapter failures silently cached as "all clear" — masking real attacks for up to six hours — or see ordinary provider-version churn falsely promoted to incident severity. Either way, the verdict source was unreliable for downstream incident workflows that gate on it. This issue has been patched in version 1.4.0.