Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-306
  • CWE-863

CVE-2026-102649

Burrito: Webhook gizli anahtarı tanımsızken imzasız isteklerle yetkisiz Terraform plan çalıştırma

padok-team burrito

Kritik 9,9 CVSS 3.1
Yayımlandı
Güncellendi
26 Eki 2026
Açık yaşı
2 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, otomasyon sisteminin bulut ve kod deposu erişim anahtarlarının yanlış kişiler tarafından kullanılmasına yol açabilir ve altyapı değişikliklerinin gizliliğini bozabilir. Etkilenen sistemler kritik risk altındadır ve en kısa sürede güncellenmesi gerekir.

ÖzetTürkçe

Burrito, Terraform için bir Kubernetes operatörüdür. 0.13.0 öncesi sürümlerde, TerraformRepository kimlik bilgilerinde webhookSecret tanımlı değilse veya boş bırakılmışsa, /api/webhook uç noktası imzasız GitHub ve GitLab olaylarını kabul etmektedir. Uç noktaya erişebilen ve izlenen bir deponun adresini bilen bir saldırgan, sahte olaylarla TerraformPullRequest kaynakları oluşturup silebilir. GitHub pull_request olaylarında dal bilgisi, pull request numarasıyla doğrulanmadığı için, aynı depodaki farklı bir dal kullanılarak operatörün kimlik bilgileriyle yetkisiz terraform plan çalıştırılabilir.

Saldırgan ne yapabilir?

Saldırgan, operatörün kayıtlı git ve bulut kimlik bilgilerini kullanarak yetkisiz plan çalıştırabilir ve plan çıktısını gerçek pull request'e yazdırarak başka bir dalın altyapı değişikliklerini ifşa edebilir. Otomatik uygulama bu geçici katmanlarda kapalı olduğundan, tek başına terraform apply çalıştırılamaz.

Kaynaktaki açıklama (İngilizce)

Burrito is a Terraform Automation Collaboration Software (TACoS) Kubernetes operator. Prior to 0.13.0, POST /api/webhook accepts unsigned GitHub and GitLab events when a TerraformRepository's credentials omit webhookSecret or set it to an empty value, including credentials configured for git authentication and polling. Credential.WebhookSecret is optional, and go-playground/webhooks skips signature or token verification when the secret is empty. Anyone who can reach burrito-server's endpoint and knows a tracked repository's URL can forge events to create or delete TerraformPullRequest custom resources with attacker-chosen Branch, Base, and ID fields. For GitHub pull_request events, the controller fetches changed files using the real pull request number but does not cross-check the payload's branch against that pull request. Pairing a real, existing pull request number with an unrelated existing branch in the same repository can therefore cause an unauthorized terraform plan for affected layers using the operator's stored git and cloud credentials. Code analysis also indicates that the resulting plan can be posted to the real pull request's comment thread, exposing and misattributing another branch's infrastructure changes. Auto-apply is disabled for these temporary layers, so this vulnerability alone cannot force a terraform apply; plan-time provider and data-source code execution depends on the selected branch's contents. This issue is fixed in version 0.13.0.

Ne yapmalı?

  1. Burrito'yu 0.13.0 veya üzeri bir sürüme yükseltin. Üretici
  2. Tüm TerraformRepository kaynaklarında webhookSecret alanının tanımlı ve boş olmayan bir değer içerdiğini doğrulayın. Genel öneri
  3. Güncelleme tamamlanana kadar burrito-server uç noktasına erişimi yalnızca güvenilir kaynaklarla sınırlayın. Genel öneri
  4. Son dönemde oluşturulmuş veya silinmiş beklenmedik TerraformPullRequest kaynaklarını ve plan çalıştırmalarını inceleyin. Genel öneri

Ek önlemler

  • Webhook uç noktasını internete doğrudan açmak yerine ağ düzeyinde kısıtlayın. Genel öneri
  • Operatörün kullandığı bulut ve git kimlik bilgilerinin yetkilerini en az ayrıcalık ilkesine göre daraltın. Genel öneri
  • Webhook isteklerini ve beklenmedik plan çalıştırmalarını izleyip günlüklerde takip edin. Genel öneri

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
padok-team burrito < 0.13.0 0.13.0

Kaynaklar5 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.