CVE-2023-34236 in GitOps Terraform Controller
要約
〜によって VulDB • 2026年05月25日
Weave GitOps Terraform Controller（別名 Weave TF-controller）は、FluxのTerraformリソースをGitOps方式で調整するためのコントローラーです。Weave GitOps Terraform Controllerにおいて、認証済みリモート攻撃者が機密情報を閲覧できる脆弱性が特定されました。この脆弱性は、Weave GitOps Terraform Runners（`tf-runner`）に起因しており、機密データが不注意にも出力されることで、ポッドログ内に機密ユーザーデータが漏洩する可能性があります。具体的には、`tfexec`オブジェクトが`Stdout`および`Stderr`をそれぞれ`os.Stdout`および`os.Stderr`に設定した際に、`tfexec.ShowPlan`、`tfexec.ShowPlanRaw`、および`tfexec.Output`関数が関与します。認証されていないリモート攻撃者は、Terraformコントローラーによって管理されるリソースへの不正な制御またはアクセスを得るために使用可能な構成情報やトークンを含む可能性のある、これらの機密情報の出力にアクセスすることで、この脆弱性を悪用できます。成功した攻撃により、攻撃者はこの機密データを利用し、システムの不正なアクセスまたは制御につながる可能性があります。この脆弱性は、Weave GitOps Terraform Controllerのバージョン`v0.14.4`および`v0.15.0-rc.5`で修正されています。ユーザーは、この脆弱性を軽減するために、これらのバージョンのいずれかにアップグレードすることを強く推奨します。パッチ適用までの暫定対策として、ユーザーはTerraform Custom Resourceのランナーポッドテンプレートを通じてtf-runnersに環境変数`DISABLE_TF_LOGS`を追加できます。これにより、機密情報のログ出力が防止され、この脆弱性のリスクが軽減されます。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.