CVE-2026-82859
KrytyczneCVSS 9.8Streszczenie
hulumi przed wersją v1.3.2 zawiera szablon SCP wdrożenia, który umożliwia obejście zabezpieczeń tag-on-create dla ochrony hulumi:iac-role. Atakujący mogą ominąć zamierzone ograniczenia granic IAM, wykorzystując osłabiony szablon SCP w późniejszych wdrożeniach.
Ocena ryzyka
Ryzyko: obejście ograniczeń IAM, co może prowadzić do nieautoryzowanych działań w środowisku chmurowym.
Rekomendacja
Zaktualizuj hulumi do wersji v1.3.2 lub nowszej, która zawiera poprawkę, oraz sprawdź szablony SCP pod kątem osłabień.
Inne podatności w hulumi
Zobacz wszystkie- CVE-2026-82862Wysokie
Hulumi przed wersją v1.3.2 rozwiązuje skrypt pomocniczy threat-model z niebezpiecznego katalogu głównego, co pozwala plikom w obszarze roboczym na przesłonięcie zamierzonego skryptu pomocniczego. Atakujący mogą umieścić złośliwe pliki w obszarze roboczym, aby wykonać dowolny kod podczas lokalnego wykonywania umiejętności.
- CVE-2026-82857Krytyczne
Podatność w hulumi przed wersją 1.3.2 umożliwia eskalację uprawnień przez politykę IAM integracji tygodniowej, która pozwala na operacje na rolach af-e2e-* bez wystarczających ograniczeń granicznych. Atakujący z udokumentowanym podmiotem mogą tworzyć trwałe role o wyższych uprawnieniach w koncie sandbox.
- CVE-2026-48037Średnie
Hulumi przed wersją 1.4.0 zawiera podatność, w której ścieżki ponownego użycia AccountFoundation po cichu obniżają poziom bezpieczeństwa GuardDuty / Security Hub. Problem został naprawiony w wersji 1.4.0.
- CVE-2026-48036Wysokie
W Hulumi przed wersją 1.4.0, wykrywanie dryfu (drift detection) uruchamiane w CI/cron mogło błędnie buforować przejściowe błędy adaptera jako „wszystko w porządku”, maskując rzeczywiste ataki przez do sześciu godzin, lub fałszywie podnosić zwykłe zmiany wersji dostawcy do poziomu incydentu.
- CVE-2026-48035Wysokie
W Hulumi przed wersją 1.4.0, użytkownicy AccountFoundation mogli wdrożyć konto AWS, którego dzienniki audytu CloudTrail/Config były usuwalne przez dowolnego podmiotu z uprawnieniami S3-delete, mimo że warstwa startowa gwarantowała odporność na manipulacje. Wdrożenia w piaskownicy nie miały żadnej niezmienności audytu.
- CVE-2026-48034Wysokie
W Hulumi przed wersją 1.4.0 istnieje możliwość obejścia zabezpieczeń poprzez użycie zasobów-córek (sibling resources) kierujących do innego bucketa.
- CVE-2026-48033Wysokie
W Hulumi przed wersją 1.4.0, pakiety zasad (policy packs) mogą zostać ominięte poprzez sfałszowaną logiczną nazwę Pulumi-URN.
- CVE-2026-48032Wysokie
W Hulumi przed wersją 1.4.0, kontrole zasad dotyczących ról IAM mogą zostać ominięte, gdy rola ufa wielu dostawcom OIDC.
Oryginalny opis (angielski, źródło NVD)
hulumi versions before v1.3.2 contain a deployment SCP template that allows tag-on-create bypasses for hulumi:iac-role protections. Attackers can bypass intended IAM boundary restrictions by exploiting the weakened SCP template in downstream deployments.