CVE-2026-82857
KrytyczneCVSS 9.8Streszczenie
Podatność w hulumi przed wersją 1.3.2 umożliwia eskalację uprawnień przez politykę IAM integracji tygodniowej, która pozwala na operacje na rolach af-e2e-* bez wystarczających ograniczeń granicznych. Atakujący z udokumentowanym podmiotem mogą tworzyć trwałe role o wyższych uprawnieniach w koncie sandbox.
Ocena ryzyka
Ryzyko nieautoryzowanego podniesienia uprawnień i trwałego przejęcia kontroli nad kontem sandbox, co może prowadzić do naruszenia integralności środowiska testowego.
Rekomendacja
Zaktualizuj hulumi do wersji 1.3.2 lub nowszej oraz przejrzyj istniejące role af-e2e-* pod kątem nieautoryzowanych zmian.
Inne podatności w hulumi
Zobacz wszystkie- CVE-2026-82862Wysokie
Hulumi przed wersją v1.3.2 rozwiązuje skrypt pomocniczy threat-model z niebezpiecznego katalogu głównego, co pozwala plikom w obszarze roboczym na przesłonięcie zamierzonego skryptu pomocniczego. Atakujący mogą umieścić złośliwe pliki w obszarze roboczym, aby wykonać dowolny kod podczas lokalnego wykonywania umiejętności.
- CVE-2026-82859Krytyczne
hulumi przed wersją v1.3.2 zawiera szablon SCP wdrożenia, który umożliwia obejście zabezpieczeń tag-on-create dla ochrony hulumi:iac-role. Atakujący mogą ominąć zamierzone ograniczenia granic IAM, wykorzystując osłabiony szablon SCP w późniejszych wdrożeniach.
- CVE-2026-48037Średnie
Hulumi przed wersją 1.4.0 zawiera podatność, w której ścieżki ponownego użycia AccountFoundation po cichu obniżają poziom bezpieczeństwa GuardDuty / Security Hub. Problem został naprawiony w wersji 1.4.0.
- CVE-2026-48036Wysokie
W Hulumi przed wersją 1.4.0, wykrywanie dryfu (drift detection) uruchamiane w CI/cron mogło błędnie buforować przejściowe błędy adaptera jako „wszystko w porządku”, maskując rzeczywiste ataki przez do sześciu godzin, lub fałszywie podnosić zwykłe zmiany wersji dostawcy do poziomu incydentu.
- CVE-2026-48035Wysokie
W Hulumi przed wersją 1.4.0, użytkownicy AccountFoundation mogli wdrożyć konto AWS, którego dzienniki audytu CloudTrail/Config były usuwalne przez dowolnego podmiotu z uprawnieniami S3-delete, mimo że warstwa startowa gwarantowała odporność na manipulacje. Wdrożenia w piaskownicy nie miały żadnej niezmienności audytu.
- CVE-2026-48034Wysokie
W Hulumi przed wersją 1.4.0 istnieje możliwość obejścia zabezpieczeń poprzez użycie zasobów-córek (sibling resources) kierujących do innego bucketa.
- CVE-2026-48033Wysokie
W Hulumi przed wersją 1.4.0, pakiety zasad (policy packs) mogą zostać ominięte poprzez sfałszowaną logiczną nazwę Pulumi-URN.
- CVE-2026-48032Wysokie
W Hulumi przed wersją 1.4.0, kontrole zasad dotyczących ról IAM mogą zostać ominięte, gdy rola ufa wielu dostawcom OIDC.
Oryginalny opis (angielski, źródło NVD)
hulumi versions before v1.3.2 contain a privilege escalation vulnerability in the weekly integration IAM policy that allows role lifecycle operations on af-e2e-* roles without sufficient boundary restrictions. Attackers with the documented principal can create persistent higher-privilege roles in the sandbox account.