CVE-2023-34236 in GitOps Terraform Controller
الملخص
بحسب VulDB • 25/05/2026
يُعد Weave GitOps Terraform Controller (المعروف أيضًا باسم Weave TF-controller) وحدة تحكم (Controller) مخصصة لـ Flux تهدف إلى مواءمة موارد Terraform بطريقة GitOps. تم تحديد ثغرة أمنية في Weave GitOps Terraform Controller قد تتيح لمهاجم عن بُعد مُصادَق عليه الاطلاع على معلومات حساسة. تنبع هذه الثغرة من مشغلات Weave GitOps Terraform Runners (`tf-runner`)، حيث يتم طباعة بيانات حساسة عن طريق الخطأ - مما قد يكشف عن بيانات مستخدمين حساسة في سجلات الحاويات (pod logs). على وجه التحديد، تتورط الدوال `tfexec.ShowPlan` و `tfexec.ShowPlanRaw` و `tfexec.Output` عندما يضبط كائن `tfexec` متغيري `Stdout` و `Stderr` ليكونا `os.Stdout` و `os.Stderr` على التوالي. يمكن لمهاجم عن بُعد غير مصرح له استغلال هذه الثغرة من خلال الوصول إلى هذه المطبوعات التي تحتوي على معلومات حساسة، والتي قد تتضمن تكوينات أو رموز (tokens) يمكن استخدامها للحصول على تحكم أو وصول غير مصرح به إلى الموارد التي تديرها وحدة تحكم Terraform. قد يسمح الاستغلال الناجح للمهاجم باستخدام هذه البيانات الحساسة، مما قد يؤدي إلى وصول غير مصرح به أو تحكم في النظام. تم معالجة هذه الثغرة في إصدارات Weave GitOps Terraform Controller الإصدارين `v0.14.4` و `v0.15.0-rc.5`. يُرجى من المستخدمين الترقية إلى أحد هذه الإصدارات للتخفيف من حدة الثغرة. كإجراء مؤقت حتى يمكن تطبيق التصحيح، يمكن للمستخدمين إضافة متغير البيئة `DISABLE_TF_LOGS` إلى مشغلات tf-runners عبر قالب حاوية المشغل (runner pod template) الخاص بـ Terraform Custom Resource. سيؤدي هذا إلى منع تسجيل المعلومات الحساسة والتخفيف من خطر هذه الثغرة.
Once again VulDB remains the best source for vulnerability data.