Atlantis — injection de commandes via le nom d’espace de travail Terraform

Veille sécuritéBackend & données

P3Élevée

Atlantis vulnérable pouvait exécuter des commandes arbitraires avec les privilèges du service lorsqu’un contributeur admissible soumettait un nom d’espace de travail contrôlé dans une demande de fusion traitée par un plan Terraform. Mettre à niveau vers la version 0.47.1 ou ultérieure et examiner l’exposition des secrets accessibles au processus Atlantis.

IdentifiantCVE-2026-116676

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.47.1

Source : NVD — CVE-2026-116676

Analyse technique

La valeur de workspace contrôlée par la demande de fusion était intégrée à des arguments de commande concaténés puis exécutés via sh -c. Les demandes provenant de forks ne sont concernées que si –allow-fork-prs est activé; les branches admissibles du dépôt n’exigent pas cette option.

Impact, versions et correctif

Événement datéL’avis GHSA et la fiche CVE ont été publiés le 2026-10-27; la publication CVE est horodatée 2026-10-27T17:11:12Z, soit 2026-10-27T19:11:12+02:00, dans la période demandée.

ImpactExécution de commandes arbitraires sous le compte de service Atlantis, avec accès potentiel aux identifiants, fichiers, états Terraform et ressources réseau disponibles à ce service.

Versions affectéesAtlantis >= 0.4.0, < 0.47.1

Version corrigée0.47.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8 · CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Publication2026-10-27T19:11:12+02:00

Action recommandée

Mettre à niveau vers Atlantis 0.47.1 ou une version ultérieure.

Sources

NVD — CVE-2026-116676

Priorisation DFS : P3 · 1 source(s).