Atlantis — это автономное приложение golang, которое прослушивает события запросов на извлечение Terraform через веб-перехватчики. С 0.19.8 по 0.45.0 Atlantis не проверяет последовательно значения управляемой пользователем рабочей области, предоставленные через принятую конфигурацию atlantis.yaml на уровне репозитория или аутентифицированные входные данные /api/plan, прежде чем объединять их в локальные пути к рабочей области. Сегменты обхода могут выходить за пределы предполагаемого каталога рабочей области для каждого запроса и вызывать подготовку клона или другие пути кода рабочего каталога для вызова os.RemoveAll, os.MkdirAll или связанных операций файловой системы в каталогах за пределами границ, прежде чем Terraform отклонит недопустимое имя рабочей области.
Это может создавать, удалять или повторно использовать доступные для записи пути с привилегиями процесса Atlantis, что приведет к потере целостности или отказу в обслуживании. Эта проблема исправлена в версии 0.45.0.
Показать оригинальное описание (EN)
Atlantis is a self-hosted golang application that listens for Terraform pull request events via webhooks. From 0.19.8 until 0.45.0, Atlantis does not consistently validate user-controlled workspace values supplied through accepted repository-level atlantis.yaml configuration or authenticated /api/plan input before joining them into local workspace paths. Traversal segments can escape the intended per-pull workspace directory and cause clone preparation or other working-directory code paths to call os.RemoveAll, os.MkdirAll, or related filesystem operations on out-of-bounds directories before Terraform rejects the invalid workspace name. This can create, delete, or reuse writable paths with the privileges of the Atlantis process, causing integrity loss or denial of service. This issue is fixed in version 0.45.0.
Характеристики атаки
Последствия
Строка CVSS v3.1