Terraform<1.5.7 任意文件写入漏洞-低调大师

Terraform<1.5.7 任意文件写入漏洞

2023-09-15 457

漏洞描述

Terraform 是一个开源的基础设施即代码(IAC)工具，允许用户使用声明性语言定义和配置基础设施资源，如虚拟机、存储、网络等。多数国内外云厂商的基础设施自动化都在使用Terraform。

Terraform 受影响版本中，由于在执行模块的初始化之前未对模块名进行校验，当 Terraform 执行初始化操作时，攻击者可通过构造恶意的模块名在任意位置写入文件，再通过其调用系统上其他可执行程序的逻辑，劫持对应内容，写入恶意的代码，即可达到任意命令执行。

当云厂商允许用户通过自定义 Terraform 语法配置和管理云上资产时会受到此漏洞影响，Terraform Cloud 和 Terraform Enterprise 不受影响。

漏洞名称	Terraform<1.5.7 任意文件写入漏洞
漏洞类型	路径遍历
发现时间	2023-09-15
漏洞影响广度	广
MPS编号	MPS-krc8-d4u9
CVE编号	CVE-2023-4782
CNVD编号	-

影响范围

github.com/hashicorp/terraform@[1.0.8, 1.5.7)

修复方案

将 github.com/hashicorp/terraform 升级至 1.5.7 及以上版本

参考链接

https://www.oscs1024.com/hd/MPS-krc8-d4u9

https://nvd.nist.gov/vuln/detail/CVE-2023-4782

https://discuss.hashicorp.com/t/hcsec-2023-27-terraform-allows-arbitrary-file-write-during-init-operation/58082/1

https://github.com/hashicorp/terraform/commit/06581d5d15151c1f87a804aed202a0a1abf83697

免费情报订阅&代码安全检测

OSCS是国内首个开源软件供应链安全社区，社区联合开发者帮助全球顶级开源项目解决安全问题，并提供实时的安全漏洞情报，同时提供专业的代码安全检测工具为开发者免费使用。社区开发者可以通过配置飞书、钉钉、企业微信机器人获取一手的情报。

免费代码安全检测工具： https://www.murphysec.com/?src=osc

免费情报订阅： https://www.oscs1024.com/cm/?src=osc

具体订阅方式详见： https://www.oscs1024.com/docs/vuln-warning/intro/?src=osc

微信关注我们

原文链接：https://www.oschina.net/news/258261

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Ant Design 5.9.1 发布，企业级 UI 设计语言和 React 实现

Ant Design5.9.1现已发布，主要变化如下：修复小尺寸 Select 组件controlHeightSMtoken 配置无效的问题。#44859 修复 Rate 组件星星变换中心不在正中心的问题。#44855 修复 DatePicker 组件dateTime模式切换输入框不会触发onCalendarChange的问题。#44845 修复 Tablevirtual配置下，选择框没有居中对齐的问题。#44786 修复 Select 开启maxTagCount时搜索光标偏上的问题。#44757 修复 Select 的 label 为 Typography 组件时的选中文本对齐问题。#44756 修复 Tablevirtual开启虚拟滚动时，当columns小于表格宽度会显示异常的问题以及部分边框、悬浮样式丢失的问题。#44818 修复 Select 组件在 Inputaddon中使用时的样式错误。#44825 修复 Tree 组件样式，使 Checkbox 与文字第一行对齐。#44827 修复 Card 组件 Card.Grid 边缘样式问题。#44801 修复 Select/C...

2023-09-15

411

Vercel 发布了一款根据文本生成 UI 界面代码的新产品：v0。体验地址：https://v0.dev/ 据介绍，只需要输入文字提示，即可生成需要的 UI 组件界面，而且可以直接复制代码粘贴到需要使用的任何地方。主要特性即时生成：可以根据用户的文本提示即时生成UI组件，这为用户提供了快速的实时反馈和迭代能力。支持实时修改：通过提供更具体和详细的提示来获得更精确的结果。简单易用：用户只需提供简单的文本提示，无需复杂的设计或编程知识。集成多种组件：提供了多种 UI 组件的示例，如音乐播放器、发票表格等，这为用户提供了丰富的选择。 Vercel CEO 表示构建 "v0" 的技术栈全部出自 Vercel：

2023-09-15

479

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。