Atlantis 0.4.0‑0.47.1 版本 OS 指令注入漏洞 CVE‑2026‑116676 允許 RCE
CVE-2026-116676 - Atlantis: OS command injection through PR-controlled Terraform workspace enables RCE during plan
Atlantis 0.4.0‑0.47.1 版本因工作區名稱注入漏洞（CVE‑2026‑116676）允許授權貢獻者在服務帳號下執行任意 shell 指令。
- 受影響範圍：Atlantis 0.4.0 至 0.47.1，任何能執行 plan 的授權貢獻者皆可能利用。
此漏洞允許授權貢獻者在 Atlantis 服務帳號下執行任意 shell 指令，對 CI/CD 流程安全構成嚴重威脅。受影響版本為 0.4.0 至 0.47.1，建議立即升級至 0.47.1 或以上，並檢查工作區名稱以避免未經授權的執行。
譯文尚未完整，完整內容請切換至原文。
Atlantis 是一個自託管的 Go 語言應用程式，透過 webhook 監聽 Terraform 的 pull request 事件。從 0.4.0 版到 0.47.1，Atlantis 會將 atlantis.yaml 中由 pull request 控制的 workspace 值傳遞到 Terraform 命令引數，並使用 strings.Join(args, " ") 組合後透過 sh -c 執行。符合 Atlantis 計畫資格的已驗證貢獻者可以在 workspace 名稱中加入 shell 轉義字元，導致任意指令以 Atlantis 服務帳號執行，而不需要自訂工作流程、apply 許可權或惡意 Terraform 提供者。外部貢獻者只能在啟用 --allow-fork-prs 時，透過 fork pull request 觸發此漏洞；相同倉庫的合格分支則不需要此選項。這些指令會繼承 Atlantis 程序環境，可存取雲端供應商、Terraform 與版本控制憑證，以及服務可存取的檔案、狀態與網路資源。此問題已於 0.47.1 版修復。
影響
受影響產品
以下產品受 CVE-2026-116676 漏洞影響。
即使 cvefeed.io 已知受影響產品的確切版本，該資訊未在下表中呈現。
| ID | 供應商 | 產品 | 動作 |
|---|---|---|---|
| 1 | Runatlantis | atlantis |
通用漏洞評分系統（CVSS）是一個標準化框架 用於評估軟體與系統漏洞的嚴重性。 我們會收集並顯示各來源的 CVSS 分數，對每個 CVE 進行評分。
| 分數 | 版本 | 嚴重性 | 向量 | 可利用性分數 | 影響分數 | 來源 |
|---|---|---|---|---|---|---|
| CVSS 3.1 | 高 | MITRE-CVE | ||||
| CVSS 3.1 | 高 | [email protected] |
更新 Atlantis 至 0.47.1 版本或更高，以修復任意命令執行漏洞。
- 更新 Atlantis 至 0.47.1 版本或更高。
- 審查並清理 atlantis.yaml 中的工作區名稱。
- 限制不受信任貢獻者的存取許可權。
這裡，您將找到一份精選的外部連結清單，提供關於 CVE-2026-116676 的深入資訊、實用解決方案和有價值的工具。
當 CVE 識別具體的漏洞例項時，CWE 將常見缺陷或弱點分類，這些缺陷或弱點可能導致漏洞。CVE-2026-116676 與以下 CWEs 相關聯：
Common Attack Pattern Enumeration and Classification
(CAPEC)
儲存攻擊模式，這些模式描述了攻擊者為利用 CVE-2026-116676 弱點所採用的常見屬性和方法。
我們掃描 GitHub 倉庫以偵測新的概念驗證漏洞。以下列表為已發布於 GitHub 的公開漏洞與概念驗證集合（按最近更新排序）。
由於潛在的效能問題，結果僅限於前 15 個倉庫。
以下列表為文章中提及 CVE-2026-116676 漏洞的新聞。
以下表格列出了隨時間變化對 CVE-2026-116676 漏洞所做的更改。
漏洞歷史細節有助於瞭解漏洞的演變，以及辨識可能影響漏洞嚴重性、可利用性或其他特徵的最新變更。
-
New CVE Received By [email protected]
十月. 27, 2026
動作 型別 舊值 新值 新增 說明 Atlantis 是一個自託管的 Go 語言應用程式，透過 webhook 監聽 Terraform 拉取請求事件。從 0.4.0 版至 0.47.1 版，Atlantis 會將由拉取請求控制的工作區值從 atlantis.yaml 傳遞至 Terraform 指令引數，該引數透過 strings.Join(args, " ") 連結後以 sh -c 執行。符合 Atlantis 計畫資格的已驗證貢獻者可在工作區名稱中加入 shell 元字元，導致任意指令以 Atlantis 服務帳號執行，而無需自訂工作流程、執行許可權或惡意 Terraform 提供者。外部貢獻者只能在啟用 --allow-fork-prs 時透過 fork 拉取請求觸發此缺陷，而同一倉庫的符合資格分支則不需此選項。這些指令繼承 Atlantis 程序環境，可存取雲供應商、Terraform 以及版本控制憑證，以及服務可存取的檔案、狀態與網路資源。此問題已於 0.47.1 版修復。 新增 CVSS V3.1 AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 新增 CWE CWE-78 新增 受影響 New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/116xxx/CVE-2026-116676.json">CVE-2026-116676</a> 新增 參考 https://github.com/runatlantis/atlantis/commit/8dd22b4d0a9d7c129fdbf6a3398dd1c4cf8c3a59 新增 參考 https://github.com/runatlantis/atlantis/commit/f04df0d53f0544d9eb6f5026dd8b74fbefd82ac8 新增 參考 https://github.com/runatlantis/atlantis/pull/6792 新增 參考 https://github.com/runatlantis/atlantis/releases/tag/v0.47.1 新增 參考 https://github.com/runatlantis/atlantis/security/advisories/GHSA-rjh2-4xgw-p2hj
EPSS 是每日估算在接下來 30 天內觀測到利用活動的機率。下圖顯示此漏洞的 EPSS 分數歷史。