CVE-2023-34236 in GitOps Terraform Controller
Riassunto
di VulDB • 16/06/2026
Weave GitOps Terraform Controller (noto anche come Weave TF-controller) è un controller per Flux che consente di riconciliare le risorse Terraform seguendo l'approccio GitOps. È stata identificata una vulnerabilità in Weave GitOps Terraform Controller che potrebbe consentire a un attaccante remoto autenticato di visualizzare informazioni sensibili. Questa vulnerabilità deriva dai componenti Weave GitOps Terraform Runners (`tf-runner`), dove dati sensibili vengono stampati involontariamente, potenzialmente rivelando informazioni riservate negli log dei pod. In particolare, le funzioni `tfexec.ShowPlan`, `tfexec.ShowPlanRaw` e `tfexec.Output` sono coinvolte quando l'oggetto `tfexec` imposta `Stdout` e `Stderr` rispettivamente su `os.Stdout` e `os.Stderr`. Un attaccante remoto non autorizzato potrebbe sfruttare questa vulnerabilità accedendo a queste stampe di informazioni sensibili, che potrebbero contenere configurazioni o token utilizzabili per ottenere un controllo o un accesso non autorizzati alle risorse gestite dal controller Terraform. Uno sfruttamento riuscito consentirebbe all'attaccante di utilizzare questi dati sensibili, potenzialmente portando ad accessi o controlli non autorizzati del sistema. Questa vulnerabilità è stata risolta nelle versioni `v0.14.4` e `v0.15.0-rc.5` di Weave GitOps Terraform Controller. Si consiglia vivamente agli utenti di effettuare l'aggiornamento a una di queste versioni per mitigare la vulnerabilità. Come misura temporanea fino all'applicazione della patch, gli utenti possono aggiungere la variabile d'ambiente `DISABLE_TF_LOGS` ai tf-runners tramite il template del pod runner nel Custom Resource Terraform. Ciò impedirà la registrazione delle informazioni sensibili e mitigherà il rischio legato a questa vulnerabilità.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.