Burrito: Nicht authentifizierte Webhooks lösen unautorisierte Terraform-Pläne aus

Zusammenfassung

Burrito, ein Kubernetes-Operator für die Terraform-Automatisierung, akzeptiert unsignierte GitHub- und GitLab-Webhook-Ereignisse für Repositories ohne konfiguriertes webhookSecret. Ein nicht authentifizierter Angreifer, der den Webhook-Endpunkt von burrito-server erreichen und die URL eines überwachten Repositories kennen kann, kann Ereignisse fälschen und so TerraformPullRequest-Ressourcen erstellen oder löschen. Dadurch können terraform-plan-Läufe mit den gespeicherten Git- und Cloud-Zugangsdaten des Operators ausgelöst werden, und die Plan-Ausgabe kann im Kommentarverlauf eines anderen Pull Requests erscheinen. Die Schwachstelle allein erzwingt kein terraform apply, die Ausführung von Code während der Planung hängt jedoch vom Inhalt des gewählten Branches ab.

Betroffen

• Burrito-Versionen vor 0.13.0
• Konfigurationen, bei denen ein TerraformRepository-Credential kein webhookSecret enthält oder es leer ist

Behoben in

• Burrito 0.13.0 (Webhooks ohne nicht leeres webhookSecret werden abgewiesen)
• Neuere Releases enthalten die Korrektur ebenfalls; die neueste Version einsetzen

Umgehung

• Auf jedem TerraformRepository-Credential ein nicht leeres webhookSecret setzen
• Netzwerkzugriff auf den Webhook-Endpunkt von burrito-server einschränken (nur Quell-IP-Bereiche von GitHub/GitLab erlauben)
• Bestehende TerraformPullRequest-Ressourcen auf unerwartete Einträge prüfen

Kein vom Hersteller dokumentierter Zwischenschritt gefunden.

Ausnutzung

• Nicht in der CISA-KEV-Liste; in den geprüften Quellen ist keine Ausnutzung bestätigt
• Ein öffentlicher Proof of Concept existiert, ist jedoch nicht verifiziert
• Honeypot-Beobachtungen sind nicht schlüssig

Unsere Empfehlung

• Alle Burrito-Installationen erfassen und auf das neueste Release aktualisieren, mindestens auf 0.13.0
• Bis zur Aktualisierung den Zugriff auf den Webhook-Endpunkt auf Ingress- oder Firewall-Ebene einschränken
• Sicherstellen, dass jedes TerraformRepository ein nicht leeres webhookSecret besitzt
• Gespeicherte Git- und Cloud-Zugangsdaten rotieren, falls eine ungepatchte Instanz erreichbar war und Logs unerklärten Webhook-Verkehr oder TerraformPullRequest-Änderungen zeigen
• Das GitHub-Advisory GHSA-7m68-72r6-3jx8 für den offiziellen Verwundbarkeitsbereich prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7m68-72r6-3jx8 github.com
• Fix commit 1d48432 (enforce non-empty webhook secret) github.com
• Burrito release v0.13.0 github.com
• NVD/Vulners record CVE-2026-102649 vulners.com
• VulDB entry 426556 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:53.