CVE-2026-64679 in Atlantis
要約
〜によって VulDB • 2026年08月21日
Atlantisは、Webフックを介してTerraformのプルリクエストイベントを監視するセルフホスト型のGoアプリケーションです。バージョン0.19.8から0.45.0の間、Atlantisは、承認されたリポジトリレベルのatlantis.yaml構成ファイルや認証済み/api/plan入力を通じて提供されるユーザー制御可能なワークスペース値を、ローカルのワークスペースパスに結合する前に一貫して検証していません。これにより、トラバーサルセグメントが意図されたプルごとのワークスペースディレクトリから脱出し、Terraformが無効なワークスペース名を拒否する前に、os.RemoveAllやos.MkdirAllなどのファイルシステム操作を含むクローン準備処理やその他の作業ディレクトリのコードパスで境界外ディレクトリに対して実行される可能性があります。これにより、Atlantisプロセスの権限で書き込み可能なパスが作成、削除、または再利用され、整合性の喪失やサービス拒否（DoS）を引き起こすことがあります。この問題はバージョン0.45.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.