Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-78

CVE-2026-116676

Atlantis'te PR kontrollü Terraform çalışma alanı üzerinden OS komut enjeksiyonu (RCE)

runatlantis atlantis

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
27 Eki 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, kötü niyetli bir katkıcının Atlantis çalıştıran sunucuda tam kontrol kurmasına yol açabilir ve bulut hesaplarındaki kimlik bilgileri dahil kritik sırların ele geçmesine neden olabilir. Veri ihlali ve operasyonel kesinti riski yüksek olduğundan, sistemlerin hemen güncellenmesi önerilir.

ÖzetTürkçe

Atlantis, Terraform pull request olaylarını webhook üzerinden dinleyen, kendi sunucunuzda çalışan bir Go uygulamasıdır. 0.4.0 ile 0.47.1 arasındaki sürümlerde, atlantis.yaml dosyasından gelen ve pull request ile kontrol edilebilen çalışma alanı (workspace) değeri Terraform komut argümanlarına eklenmekte ve bu argümanlar sh -c ile çalıştırılmaktadır. Plan çalıştırmaya uygun bir pull request açabilen kimliği doğrulanmış bir katkıcı, bu sorunu kullanarak etkilenen sunucuda komut çalıştırabilir.

Saldırgan ne yapabilir?

Saldırgan, Atlantis servis hesabı yetkileriyle keyfi komutlar çalıştırabilir; bulut sağlayıcı, Terraform ve versiyon kontrol sistemi kimlik bilgilerine ve sunucudaki dosya, state ve ağ kaynaklarına erişebilir.

Kaynaktaki açıklama (İngilizce)

Atlantis is a self-hosted golang application that listens for Terraform pull request events via webhooks. From version 0.4.0 until 0.47.1, Atlantis passes the pull-request-controlled workspace value from atlantis.yaml into Terraform command arguments that are joined with strings.Join(args, " ") and executed through sh -c. An authenticated contributor whose pull request is eligible for an Atlantis plan can include shell metacharacters in the workspace name, causing arbitrary commands to execute as the Atlantis service account without custom workflows, apply permission, or a malicious Terraform provider. External contributors can reach the flaw through fork pull requests only when --allow-fork-prs is enabled, while eligible same-repository branches do not require that option. The commands inherit the Atlantis process environment and can access cloud-provider, Terraform, and version-control credentials as well as files, state, and network resources available to the service. This issue is fixed in version 0.47.1.

Ne yapmalı?

  1. Atlantis'i 0.47.1 veya daha yeni bir sürümüne yükseltin. Genel öneri
  2. Güncelleme tamamlanana kadar, Atlantis'in çalıştığı sunucuya erişebilen katkıcıların ve pull request açma yetkisinin kısıtlanmasını değerlendirin. Genel öneri
  3. Güncelleme sonrası, Atlantis servis hesabının kullandığı bulut ve versiyon kontrol kimlik bilgilerini yenileyin. Genel öneri

Ek önlemler

  • Fork pull request'lerden gelen planları, --allow-fork-prs seçeneğini gereksiz yere etkinleştirmeyerek sınırlandırın. Genel öneri
  • Atlantis servis hesabına yalnızca gerekli minimum bulut ve depo yetkilerini verin. Genel öneri
  • Atlantis süreç günlüklerinde ve sunucu üzerinde beklenmedik komut çalıştırma veya dosya değişikliği belirtilerini izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
runatlantis atlantis Sürüm belirtilmemiş –

Kaynaklar7 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.