CVE-2026-74797
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
OpenTofu przed wersją 1.11.4 zawiera podatność na atak typu denial of service w poleceniu tofu init podczas przetwarzania złośliwie spreparowanych archiwów .zip dla pakietów providerów lub modułów. Atakujący mogą spowodować nadmierne zużycie CPU, kontrolując zawartość archiwum .zip serwowanego podczas instalacji zależności, co obniża wydajność systemu i uniemożliwia terminowe zakończenie procesu init.
Ocena ryzyka
Ryzyko polega na zakłóceniu działania usług, co może prowadzić do niedostępności systemów zarządzanych przez OpenTofu. Atak może być przeprowadzony zdalnie, jeśli atakujący może kontrolować źródło pakietów.
Rekomendacja
Zaleca się aktualizację OpenTofu do wersji 1.11.4 lub nowszej, która zawiera poprawkę. Należy również ograniczyć zaufanie do źródeł pakietów i stosować mechanizmy weryfikacji integralności archiwów.
Inne podatności w OpenTofu
Zobacz wszystkie- CVE-2026-74796Średnie
OpenTofu przed wersją 1.11.7 nie weryfikuje istniejących dowiązań symbolicznych w katalogu pamięci podręcznej dostawców podczas inicjalizacji. Atakujący mogą umieścić złośliwe dowiązanie symboliczne w zaufanym katalogu roboczym, aby spowodować, że polecenie tofu init zapisze zawartość pakietów dostawców w dowolnych lokalizacjach w systemie plików poza drzewem roboczym.
- CVE-2024-58375Wysokie
OpenTofu w wersjach od 1.8.0 do 1.8.2 nie ogranicza prawidłowo wrażliwych zmiennych i wartości lokalnych, gdy użytkownicy włączyli statyczną ocenę źródeł modułów, wersji i konfiguracji backendu. W rezultacie wartości oznaczone jako wrażliwe mogą być ujawniane przez te elementy konfiguracji zamiast generować błąd. Problem naprawiono w OpenTofu 1.8.3, które dodaje jawne błędy uniemożliwiające użycie wrażliwych wartości w tych kontekstach.
Oryginalny opis (angielski, źródło NVD)
OpenTofu versions before 1.11.4 contain a denial of service vulnerability in the tofu init command when processing maliciously-crafted .zip archives for provider or module packages. Attackers can cause excessive CPU usage by controlling .zip archive content served during dependency installation, degrading system performance and preventing timely completion of the init process.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS