Terrascan服务器端请求伪造漏洞导致本地文件读取

披露日期: 2026-05-19

来源: [email protected]

漏洞信息

漏洞编号

CVE-2026-47358

漏洞类型

SSRF（服务器端请求伪造）

CVSS评分

7.5

攻击向量

网络 (AV:N)

认证要求

无需认证 (PR:N)

用户交互

无需交互 (UI:N)

影响产品

Terrascan

漏洞概述

Terrascan v1.18.3及更早版本在服务器模式下存在SSRF漏洞。由于使用hashicorp/go-getter解析模板URL时启用了文件协议检测，未授权攻击者可通过上传特制的IaC模板读取服务器本地文件。该项目已归档且无补丁发布。

技术细节

漏洞发生在Terrascan处理上传的ARM或CloudFormation模板时。程序使用hashicorp/go-getter库解析模板中的外部引用（如templateLink.uri或TemplateURL），且默认启用了FileDetector。攻击者无需认证，可上传包含恶意file:// URL的模板。Terrascan服务端会直接请求该本地文件路径，导致本地文件读取（LFR）。与远程扫描端点不同，此处的file://协议无需重定向即可直接利用。

PoC / 利用代码

暂无PoC代码

影响范围

暂无版本信息

防御指南

参考链接

1 CVE https://www.cve.org/CVERecord?id=CVE-2026-47358
2 NVD https://nvd.nist.gov/vuln/detail/CVE-2026-47358
3 Details https://www.cvedetails.com/cve/CVE-2026-47358/
4 VulDB https://vuldb.com/cve/CVE-2026-47358
5 Link https://github.com/tenable/terrascan

快速导航: 前沿安全最新收录域名列表最新威胁情报列表最新网站排名列表最新工具资源列表最新CVE漏洞列表