CVE-2026-82860
KrytyczneCVSS 9.8Streszczenie
Biblioteka @hulumi/policies przed wersją 1.3.2 nie w pełni sprawdza dowody polityk IAM (wbudowanych i dołączonych) pod kątem zabezpieczenia administratora. Atakujący mogą tworzyć ścieżki polityk równoważne administratorowi, które omijają kontrolę oceny polityk.
Ocena ryzyka
Ryzyko: nieautoryzowane podniesienie uprawnień do poziomu administratora, co może prowadzić do pełnej kompromitacji zasobów.
Rekomendacja
Zaktualizuj @hulumi/policies do wersji 1.3.2 lub nowszej, która zawiera poprawkę, oraz przejrzyj istniejące polityki IAM.
Inne podatności w @hulumi/policies
Zobacz wszystkie- CVE-2026-82861Wysokie
@hulumi/policies przed wersją 1.3.2 zawiera podatność na obejście przez sfałszowanie rodzica, która pozwala atakującym na przesłanie sfałszowanych dowodów SecureBucket podczas oceny polityki. Atakujący mogą obejść kontrole polityki bezpieczeństwa, dostarczając sfałszowane dowody, co powoduje, że walidator nie wykryje niebezpiecznych konfiguracji zasobników.
- CVE-2026-82856Krytyczne
Podatność w @hulumi/policies przed wersją 1.3.2 polega na nieprawidłowej walidacji operatorów warunków IAM z kwalifikatorem set w politykach zaufania OIDC GitHub. Atakujący mogą użyć operatorów ForAnyValue:StringLike, aby ukryć warunki podmiotu OIDC z wildcardami przed zabezpieczeniami.
- CVE-2026-82855Krytyczne
Podatność w @hulumi/policies przed wersją 1.3.2 umożliwia obejście walidacji dowodów w walidatorach Cloudflare i deployment-governance. Atakujący mogą dostarczyć niezwiązane, zgodne dowody, aby stłumić naruszenia dla niepowiązanych zasobów w tym samym stosie.
Oryginalny opis (angielski, źródło NVD)
@hulumi/policies versions before 1.3.2 fail to fully inspect inline and attached IAM policy evidence for the administrator-policy guardrail. Attackers can craft admin-equivalent policy paths that bypass policy evaluation controls.