CVE-2026-47358

Terrascan v1.18.3 ve öncesi sürümler, sunucu modunda çalışırken yüklenen IaC şablonlarındaki harici URL çözümlemesi aracılığıyla Sunucu Taraflı İstek Sahteciliği'ne (SSRF) karşı savunmasızdır. Terrascan, yüklenen ARM şablonlarını veya CloudFormation şablonlarını ayrıştırdığında, bu şablonlarda referans verilen harici URL'leri, FileDetector dahil tüm varsayılan dedektörler etkinleştirilmiş şekilde hashicorp/go-getter üzerinden çözer. Kimliği doğrulanmamış uzak bir saldırgan; templateLink.uri veya parametersLink.uri alanı içeren bir ARM şablonu ya da AWS::CloudFormation::Stack TemplateURL alanı içeren bir CloudFormation şablonu yükleyerek, saldırgan tarafından kontrol edilen bir URL'ye yönlendirme yapabilir. Terrascan, saldırganın kontrolündeki URL'yi sunucu tarafında getirecektir. Uzak tarama uç noktası üzerinden gerçekleşen SSRF'den farklı olarak, file:// URL'leri herhangi bir X-Terraform-Get yönlendirmesine ihtiyaç duymadan doğrudan kullanılabilir ve bu durum yerel dosya okumaya olanak tanır. Bu durum, kimlik doğrulama olmaksızın 0.0.0.0 adresine bağlanan ve terrascan'i sunucu modunda (terrascan server) çalıştıran dağıtımları etkiler. Not: Terrascan Ağustos 2023'te arşivlendiğinden herhangi bir yama yayınlanmayacaktır.