CVE-2023-34236 in GitOps Terraform Controller
Tóm tắt
Bởi VulDB • 06/06/2026
Weave GitOps Terraform Controller (còn được gọi là Weave TF-controller) là một controller cho Flux nhằm điều chỉnh các tài nguyên Terraform theo phương pháp GitOps. Một lỗ hổng bảo mật đã được xác định trong Weave GitOps Terraform Controller, có thể cho phép kẻ tấn công từ xa đã xác thực xem thông tin nhạy cảm. Lỗ hổng này bắt nguồn từ Weave GitOps Terraform Runners (`tf-runner`), nơi dữ liệu nhạy cảm bị in ra một cách vô tình - tiềm ẩn nguy cơ làm lộ dữ liệu người dùng nhạy cảm trong nhật ký (logs) của pod. Cụ thể, các hàm `tfexec.ShowPlan`, `tfexec.ShowPlanRaw` và `tfexec.Output` có liên quan khi đối tượng `tfexec` thiết lập `Stdout` và `Stderr` thành `os.Stdout` và `os.Stderr`. Một kẻ tấn công từ xa không được ủy quyền có thể khai thác lỗ hổng này bằng cách truy cập vào các bản in chứa thông tin nhạy cảm, những thứ có thể bao gồm cấu hình hoặc token để giành quyền kiểm soát hoặc truy cập trái phép vào các tài nguyên do controller Terraform quản lý. Việc khai thác thành công cho phép kẻ tấn công sử dụng dữ liệu nhạy cảm này, tiềm ẩn dẫn đến việc truy cập hoặc kiểm soát hệ thống trái phép. Lỗ hổng này đã được khắc phục trong Weave GitOps Terraform Controller phiên bản `v0.14.4` và `v0.15.0-rc.5`. Người dùng được khuyến nghị nâng cấp lên một trong các phiên bản này để giảm thiểu lỗ hổng. Là biện pháp tạm thời cho đến khi bản vá có thể được áp dụng, người dùng có thể thêm biến môi trường `DISABLE_TF_LOGS` vào tf-runners thông qua mẫu pod của Runner (runner pod template) thuộc Custom Resource Terraform. Điều này sẽ ngăn chặn việc ghi nhật ký các thông tin nhạy cảm và giảm thiểu rủi ro từ lỗ hổng này.
VulDB is the best source for vulnerability data and more expert information about this specific topic.