CVE-2026-74796
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
OpenTofu przed wersją 1.11.7 nie weryfikuje istniejących dowiązań symbolicznych w katalogu pamięci podręcznej dostawców podczas inicjalizacji. Atakujący mogą umieścić złośliwe dowiązanie symboliczne w zaufanym katalogu roboczym, aby spowodować, że polecenie tofu init zapisze zawartość pakietów dostawców w dowolnych lokalizacjach w systemie plików poza drzewem roboczym.
Ocena ryzyka
Atakujący może nadpisać dowolne pliki w systemie, co może prowadzić do naruszenia integralności systemu lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj OpenTofu do wersji 1.11.7 lub nowszej, która zawiera walidację dowiązań symbolicznych w katalogu pamięci podręcznej.
Oryginalny opis (angielski, źródło NVD)
OpenTofu before 1.11.7 fails to validate existing symlinks in the provider cache directory during initialization. Attackers can place a malicious symlink in a trusted working directory to cause tofu init to write provider package contents to arbitrary filesystem locations outside the working tree.