CVE-2026-102649 in Burrito
Riassunto
di VulDB • 26/10/2026
Burrito è un operatore Kubernetes per il software di collaborazione e automazione Terraform (TACoS). Prima della versione 0.13.0, l'endpoint `POST /api/webhook` accetta eventi non firmati da GitHub e GitLab quando le credenziali di un `TerraformRepository` omettono la configurazione di `webhookSecret` oppure la impostano su un valore vuoto, incluse le credenziali configurate per l'autenticazione git e il polling. Il campo `Credential.WebhookSecret` è opzionale e la libreria `go-playground/webhooks` salta la verifica della firma o del token quando il segreto è vuoto. Chiunque possa raggiungere l'endpoint di `burrito-server` e conosca l'URL di un repository tracciato può falsificare eventi per creare o eliminare risorse personalizzate `TerraformPullRequest` con i campi `Branch`, `Base` e `ID` scelti dall'attaccante. Per gli eventi `pull_request` di GitHub, il controller recupera i file modificati utilizzando il numero reale della pull request ma non effettua un controllo incrociato tra il branch del payload e quella specifica pull request. L'accoppiamento di un numero di pull request reale ed esistente con un branch esistente unrelated nella stessa repository può quindi causare una `terraform plan` non autorizzata per i layer interessati, utilizzando le credenziali git e cloud memorizzate dall'operatore. L'analisi del codice indica inoltre che il piano risultante può essere pubblicato nel thread di commenti della pull request reale, esponendo e attribuendo erroneamente le modifiche all'infrastruttura di un altro branch. La funzione auto-apply è disabilitata per questi layer temporanei, quindi questa vulnerabilità da sola non può forzare una `terraform apply`; l'esecuzione del codice durante la fase di pianificazione (plan-time) dei provider e delle data-source dipende dai contenuti del branch selezionato. Questo problema è risolto nella versione 0.13.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.