FreeBSD:terraform -- .terraformignore 処理における除外バイパス(4496ae0c-9d7d-11f1-a655-3497f65b111b)

medium Nessus プラグイン ID 338841

Language:

概要

リモートの FreeBSD ホストに 1 つ以上のセキュリティ関連の更新プログラムがありません。

説明

リモートホストにインストールされている FreeBSD のバージョンは、テスト済みバージョンより前です。したがって、4496ae0c-9d7d-11f1-a655-3497f65b111b のアドバイザリに記載されている脆弱性の影響を受けます。

HashiCorp による報告:
Terraform には go-slug ライブラリがバンドルされており、実行の開始時に HCP Terraform または Terraform Enterprise にアップロードされるアーカイブをビルドします。v0.18.3 より前の go-slug では、.terraformignore ルールの一致が、正規的に同等の Unicode ファイル名を同じパスとして一貫して処理していません。
ファイル名を正規化するファイルシステム上で、表示された名前が除外ルールに一致しているように見えるファイルが、生成されたアップロードバンドルに入る可能性があります。このため、オペレーターがリモート実行から遠ざけておくべきローカルファイルが送信される可能性があります。
悪用するには、作業ディレクトリのコンテンツに対するローカルコントロール、.terraformignoreの使用、ファイル名が必要であり、Unicodeの正規化形式によってのみ異なるパターンは無視します。.terraformignore を使用しないセットアップ、ASCII のみのファイル名とパターンを使用するセットアップ、またはこの正規化を実行しないファイルシステムで実行されるセットアップは、影響を受けません。

Tenable は、前述の記述ブロックを FreeBSD セキュリティアドバイザリから直接抽出しています。

Nessus はこの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。