AWS SAM CLI: OS Command Injection im Terraform-Hook

Zusammenfassung

AWS SAM CLI in den Versionen 1.63.0 bis 1.166.1 enthält eine OS Command Injection im Terraform-Hook (sam build --hook-name terraform). Ein Terraform-Ressourcenbezeichner wird ohne vollständige Neutralisierung in ein generiertes Makefile-Rezept übernommen. Ein Angreifer, der die Terraform-Konfiguration oder Plan-Datei eines Builds beeinflussen kann, kann damit beliebige Befehle als Build-Benutzer auf dem Build-Host ausführen, ohne AWS-Zugangsdaten zu benötigen. Die Schwachstelle betrifft lokale Build-Prozesse und ist nicht direkt aus dem Internet erreichbar.

Betroffen

• AWS SAM CLI (aws-sam-cli, PyPI) 1.63.0 bis einschliesslich 1.166.1
• Forks und abgeleiteter Code, der den betroffenen Terraform-Hook-Code enthält

Behoben in

AWS SAM CLI 1.166.2 oder neuer.

Umgehung

• Terraform-Konfigurations- und Plan-Dateien für sam build --hook-name terraform nur aus vertrauenswürdigen Quellen verwenden.
• Drittanbieter-Terraform-Module und gemeinsam genutzte Repositories, die Eingaben für den Build liefern, prüfen.
• Keine vom Hersteller dokumentierte Einstellung zum Deaktivieren des Hooks bekannt. Unbekannt.

Ausnutzung

• Laut Hersteller, CISA-SSVC-Bewertung (Exploitation: none, Automatable: no) und VulDB ist keine Ausnutzung bekannt.
• Kein öffentlicher Proof of Concept gefunden.
• Soweit bekannt, nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Prüfen, ob SAM CLI auf Entwickler-Rechnern, Build-Servern und CI/CD-Runnern installiert ist und welche Version verwendet wird.
• Auf 1.166.2 oder neuer aktualisieren, inklusive Forks und Paketen aus Distributionen.
• Prüfen, ob sam build --hook-name terraform verwendet wird; falls ja, Änderungen an Terraform-Code und Plan-Dateien einschränken und Drittanbieter-Module prüfen.
• Falls nicht ausgeschlossen werden kann, dass nicht vertrauenswürdige Eingaben gebaut wurden, CI/CD-Secrets auf den betroffenen Runnern rotieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• AWS Security Bulletin 2026-145-AWS aws.amazon.com
• GitHub Security Advisory GHSA-44mq-wjrh-vpj6 github.com
• GitHub Release v1.166.2 github.com
• VulDB entry 425366 vuldb.com
• Hol.org CVE summary hol.org
• NixOS nixpkgs tracker issue 577768 github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 12:08.