CVE-2026-64679 in Atlantis
요약
\~에 의해 VulDB • 2026. 08. 21.
Atlantis는 웹훅을 통해 Terraform 풀 리퀘스트 이벤트를 수신하는 자체 호스팅 golang 애플리케이션입니다. 버전 0.19.8부터 0.45.0까지 Atlantis는 승인된 저장소 수준의 atlantis.yaml 구성 또는 인증된 /api/plan 입력을 통해 제공되는 사용자 제어형 워크스페이스 값을 로컬 워크스페이스 경로에 결합하기 전에 일관되게 검증하지 않습니다. 트래버설 세그먼트가 의도된 풀 리퀘스트별 워크스페이스 디렉토리에서 벗어나 Terraform이 유효하지 않은 워크스페이스 이름을 거부하기 전에 os.RemoveAll, os.MkdirAll 또는 관련 파일 시스템 작업을 아웃 오브 바운즈(out-of-bounds) 디렉토리에 호출하여 클론 준비나 기타 작업 디렉토리 코드 경로를 유발할 수 있습니다. 이로 인해 Atlantis 프로세스의 권한으로 작성 가능한 경로가 생성, 삭제되거나 재사용되어 무결성 손실이나 서비스 거부(Denial of Service)가 발생할 수 있습니다. 이 문제는 버전 0.45.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.