CVE-2026-47357 in Terrascan
Zusammenfassung
von VulDB • 19.05.2026
Terrascan v1.18.3 und frühere Versionen sind anfällig für Server-Side Request Forgery (SSRF) über den Parameter remote_url im Endpunkt für die Remote-Verzeichnis-Scan-Funktion (POST /v1/{iac}/{iacVersion}/{cloud}/remote/dir/scan), wenn der Servermodus ausgeführt wird. Ein nicht authentifizierter, entfernter Angreifer kann eine vom Angreifer kontrollierte HTTP-URL als remote_url angeben, wobei remote_type auf „http“ gesetzt ist. Die URL wird ohne Validierung direkt an hashicorp/go-getter (v1.7.5) übergeben. Der HttpGetter von Go-getter unterstützt den Antwortheader X-Terraform-Get, wodurch der Server des Angreifers den Download auf eine file://-URL umleiten kann, was das Lesen lokaler Dateien ermöglicht. Darüber hinaus ist bei HttpGetter Netrc auf true gesetzt, wodurch ~/.netrc gelesen und gespeicherte Anmeldeinformationen an vom Angreifer kontrollierte Hostnamen gesendet werden. Dies betrifft Bereitstellungen, die Terrascan im Servermodus ausführen (terrascan server), die an 0.0.0.0 gebunden sind und keine Authentifizierung erfordern. Hinweis: Terrascan wurde im August 2023 archiviert, und es wird kein Patch veröffentlicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.