JVNDB-2026-006896

TerraformのLinode Providerにおけるログファイルからの情報漏えいに関する脆弱性

Linode向けTerraformプロバイダーのv3.9.0未満のバージョンでは、パスワードの一部、StackScriptの内容、およびオブジェクトストレージデータなどの機密情報がマスクされずにデバッグログに記録されていました。プロバイダーのデバッグログ機能はデフォルトで有効になっていません。この問題は、例えばローカルのトラブルシューティング、CI/CDジョブ、または集中ログ収集環境などでデバッグやプロバイダーのログを明示的に有効化した場合に露出します。有効化されると、機密情報がログに書き込まれ、その後、元の実行環境を超えて保持、共有、またはエクスポートされる可能性があります。認証されたユーザーがログ集約システム、CI/CDパイプライン、またはデバッグ出力を通じてプロバイダーのデバッグログにアクセスできる場合、これらの機密資格情報を抽出できる恐れがあります。バージョン3.9.0以降では、ラベル、リージョン、リソースIDなどの非機密メタデータのみが記録され、資格情報、トークン、キー、スクリプト、その他の機密内容はマスクされてデバッグログがサニタイズされています。その他の軽減策や回避策も利用可能であり、Terraformやプロバイダーのデバッグログを無効化するかWARNレベル以上に設定する、既存および過去のログへのアクセスを制限する、機密値を含む可能性のあるログを削除または保持期間を短縮する、そして露出した可能性のある秘密情報や認証情報をローテーションすることが推奨されます。

Terraform

• Linode Provider 3.9.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Sensitive Information Exposure in Terraform Provider for Linode Debug Logs  Advisory  linode/terraform-provider-linode  GitHub

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-27900 - Sensitive Information Exposure in Debug Logs of Terraform Provider for Linode

1. ログファイルからの情報漏えい(CWE-532) [その他]

1. CVE-2026-27900

1. National Vulnerability Database (NVD) : CVE-2026-27900
2. 関連文書 : Security fix by zliang-akamai  Pull Request #2269  linode/terraform-provider-linode  GitHub
3. 関連文書 : Release v3.9.0  linode/terraform-provider-linode  GitHub
4. 関連文書 : Fix sensitive info exposed issue (#2269)  linode/terraform-provider-linode@43a925d  GitHub

• [2026年03月16日]
    掲載