CVE-2026-74796
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
OpenTofu przed wersją 1.11.7 nie weryfikuje istniejących dowiązań symbolicznych w katalogu pamięci podręcznej dostawców podczas inicjalizacji. Atakujący mogą umieścić złośliwe dowiązanie symboliczne w zaufanym katalogu roboczym, aby spowodować, że polecenie tofu init zapisze zawartość pakietów dostawców w dowolnych lokalizacjach w systemie plików poza drzewem roboczym.
Ocena ryzyka
Atakujący może nadpisać dowolne pliki w systemie, co może prowadzić do naruszenia integralności systemu lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj OpenTofu do wersji 1.11.7 lub nowszej, która zawiera walidację dowiązań symbolicznych w katalogu pamięci podręcznej.
Inne podatności w OpenTofu
Zobacz wszystkie- CVE-2026-74797Niskie
OpenTofu przed wersją 1.11.4 zawiera podatność na atak typu denial of service w poleceniu tofu init podczas przetwarzania złośliwie spreparowanych archiwów .zip dla pakietów providerów lub modułów. Atakujący mogą spowodować nadmierne zużycie CPU, kontrolując zawartość archiwum .zip serwowanego podczas instalacji zależności, co obniża wydajność systemu i uniemożliwia terminowe zakończenie procesu init.
- CVE-2024-58375Wysokie
OpenTofu w wersjach od 1.8.0 do 1.8.2 nie ogranicza prawidłowo wrażliwych zmiennych i wartości lokalnych, gdy użytkownicy włączyli statyczną ocenę źródeł modułów, wersji i konfiguracji backendu. W rezultacie wartości oznaczone jako wrażliwe mogą być ujawniane przez te elementy konfiguracji zamiast generować błąd. Problem naprawiono w OpenTofu 1.8.3, które dodaje jawne błędy uniemożliwiające użycie wrażliwych wartości w tych kontekstach.
Oryginalny opis (angielski, źródło NVD)
OpenTofu before 1.11.7 fails to validate existing symlinks in the provider cache directory during initialization. Attackers can place a malicious symlink in a trusted working directory to cause tofu init to write provider package contents to arbitrary filesystem locations outside the working tree.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS