CVE-2026-47358

Gdy Terrascan działa w trybie serwerowym, przetwarza przesłane szablony ARM lub CloudFormation, rozwiązując zewnętrzne adresy URL zawarte w polach takich jak templateLink.uri, parametersLink.uri (ARM) lub TemplateURL (CloudFormation). Do pobierania zasobów używana jest biblioteka hashicorp/go-getter z włączonymi wszystkimi domyślnymi detektorami, w tym FileDetector. Atakujący może przesłać szablon wskazujący na kontrolowany przez siebie adres URL lub użyć bezpośrednio schematu file://, co — bez konieczności przekierowania X-Terraform-Get — umożliwia odczyt plików z lokalnego systemu plików serwera. Ponieważ usługa nie wymaga żadnego uwierzytelnienia, atak może przeprowadzić dowolny zdalny, nieuwierzytelniony użytkownik mający dostęp sieciowy do portu nasłuchującego.

Atakujący może zmusić serwer do wykonywania żądań do dowolnych zasobów wewnętrznych lub zewnętrznych (SSRF), a dzięki obsłudze schematu file:// — odczytać dowolne pliki z systemu plików serwera (np. klucze prywatne, dane konfiguracyjne, sekrety). Skompromitowanie poufności systemów wewnętrznych (SC:H) oraz bezpośredni wyciek danych lokalnych stanowią poważne zagrożenie dla bezpieczeństwa środowiska, w którym uruchomiony jest Terrascan.

Producent zarchiwizował projekt Terrascan w sierpniu 2023 r. i nie wyda żadnej poprawki. Zaleca się natychmiastowe zaprzestanie używania Terrascan w trybie serwerowym w środowiskach dostępnych z sieci. W przypadku konieczności dalszego korzystania należy ograniczyć dostęp sieciowy do usługi wyłącznie do zaufanych hostów (firewall, listy ACL), wdrożyć uwierzytelnianie na poziomie reverse proxy oraz rozważyć migrację do aktywnie utrzymywanego alternatywnego narzędzia do analizy IaC.

Tenable Terrascan w wersji 1.18.3 i wszystkich wcześniejszych, uruchomiony w trybie serwerowym (terrascan server). Problem dotyczy wdrożeń przetwarzających szablony ARM lub CloudFormation z zewnętrznymi referencjami URL.

Projekt Tenable Terrascan został zarchiwizowany w sierpniu 2023 r. — producent potwierdził wprost, że żadna poprawka bezpieczeństwa nie zostanie wydana. Organizacje korzystające z tego narzędzia powinny traktować jego dalsze użytkowanie jako akceptację ryzyka rezydualnego bez możliwości jego eliminacji przez patch management.