CVE-2026-47358 in Terrascan
Résumé
par VulDB • 19/05/2026
Terrascan v1.18.3 et les versions antérieures sont vulnérables à une attaque de Server-Side Request Forgery (SSRF) via la résolution d'URL externes dans les modèles IaC téléchargés lors de l'exécution en mode serveur. Lorsque Terrascan analyse les modèles ARM ou CloudFormation téléchargés, il résout les URL externes référencées dans ces modèles via hashicorp/go-getter avec tous les détecteurs par défaut activés, y compris FileDetector. Un attaquant distant non authentifié peut télécharger un modèle ARM contenant un champ templateLink.uri ou parametersLink.uri, ou un modèle CloudFormation contenant un champ AWS::CloudFormation::Stack TemplateURL, pointant vers une URL contrôlée par l'attaquant. Terrascan récupérera l'URL contrôlée par l'attaquant côté serveur. Contrairement à l'SSRF via le point de terminaison d'analyse distante, les URL de type file:// sont directement utilisables sans nécessiter de redirection X-Terraform-Get, ce qui permet la lecture de fichiers locaux. Cela affecte les déploiements exécutant terrascan en mode serveur (terrascan server), qui est lié à 0.0.0.0 sans authentification. Remarque : Terrascan a été archivé en août 2023 et aucun correctif ne sera publié.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.