Podatności Atlantis

Atlantis przekazuje wartość workspace z pliku atlantis.yaml, kontrolowaną przez pull request, do argumentów polecenia Terraform, które są łączone przez strings.Join i wykonywane przez sh -c. Uwierzytelniony kontrybutor może umieścić metaznaki powłoki w nazwie workspace, co prowadzi do wykonania dowolnych poleceń w kontekście konta usługi Atlantis. Luka została naprawiona w wersji 0.47.1.

Atlantis do wersji 0.47.1 nie uwierzytelnia punktu końcowego /github-app/setup, co pozwala nieuwierzytelnionym atakującym na dostęp do poświadczeń aplikacji GitHub. Atakujący mogą obserwować lub przechwycić przekierowanie GitHub podczas konfiguracji, aby uzyskać prywatny klucz RSA i sekret webhooka, co umożliwia tworzenie tokenów instalacji i fałszowanie ładunków webhook.

Atlantis w wersjach od 0.19.8 do 0.45.0 nie waliduje poprawnie wartości workspace dostarczanych przez użytkownika. Może to pozwolić na wyjście poza zamierzony katalog workspace i wykonanie operacji na plikach poza nim, co prowadzi do utraty integralności lub DoS.