Burrito : événements webhook non signés pouvant déclencher des plans Terraform non autorisés

Veille sécuritéCloud & DevOps

P3Critique

Burrito acceptait des événements GitHub et GitLab non signés lorsque le secret webhook était absent ou vide, permettant de créer ou supprimer des ressources TerraformPullRequest et de déclencher des plans Terraform non autorisés. Selon les circonstances, ces plans pouvaient exposer des changements d’infrastructure dans le fil d’une vraie demande de fusion ; la faille est corrigée dans la version 0.13.0.

IdentifiantCVE-2026-102649

GravitéCritique

Exploitationnon connue / non déterminée

Correctif0.13.0

Source : CVE-2026-102649 — NVD

Analyse technique

Un attaquant pouvant joindre l’endpoint burrito-server et connaître l’URL d’un dépôt suivi pouvait forger des événements. L’avis indique que l’auto-apply est désactivé pour ces couches temporaires : cette faille seule ne permet donc pas de forcer un terraform apply.

Impact, versions et correctif

Événement datéNouvelle vulnérabilité publiée le 2026-10-26 à 18:17:21.803Z, dans la période demandée.

ImpactDéclenchement non autorisé de plans Terraform et risque d’exposition ou de mauvaise attribution de changements d’infrastructure.

Versions affectéesVersions antérieures à 0.13.0 lorsque le secret webhook est absent ou vide.

Version corrigée0.13.0

ContournementConfigurer un secret webhook non vide pour les dépôts concernés et limiter l’accès réseau à l’endpoint.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.9 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:H

Publication2026-10-26T18:17:21.803Z

Mise à jour2026-10-26T18:39:42.503Z

Action recommandée

Mettre à niveau Burrito vers la version 0.13.0 ou ultérieure.

Sources

CVE-2026-102649 — NVD

Priorisation DFS : P3 · 1 source(s).