JVNDB-2026-016778

Tenable, Inc.のTerrascanにおける複数の脆弱性

Terrascan v1.18.3 以前のバージョンは、サーバーモードで動作している場合、リモートディレクトリスキャンのエンドポイント（POST /v1/{iac}/{iacVersion}/{cloud}/remote/dir/scan）において、remote_url パラメータを介したサーバーサイドリクエストフォージェリ（SSRF）の脆弱性があります。認証されていないリモート攻撃者は、remote_type を "http" に設定し、攻撃者が制御する HTTP URL を remote_url として指定できます。この URL は検証されることなく hashicorp/go-getter (v1.7.5) に直接渡されます。go-getter の HttpGetter は X-Terraform-Get レスポンスヘッダーをサポートしており、攻撃者のサーバーがダウンロードを file:// URL にリダイレクトさせることが可能であり、これによりローカルファイルの読み取りが可能となります。さらに、HttpGetter は Netrc を true に設定しているため、~/.netrc を読み込んで保存された認証情報を攻撃者が制御するホスト名に送信してしまいます。この脆弱性は、0.0.0.0 にバインドし認証がないサーバーモード（terrascan server）で動作する Terrascan の展開に影響を及ぼします。注意：Terrascan は 2023年8月にアーカイブされており、修正パッチはリリースされません。

Tenable, Inc.

• Terrascan 1.18.3 およびそれ以前

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

参考情報を参照して適切な対策を実施してください。

1. 別領域リソースに対する外部からの制御可能な参照(CWE-610) [その他]
2. ファイル名やパス名の外部制御(CWE-73) [その他]
3. サーバサイドのリクエストフォージェリ(CWE-918) [その他]
4. サーバサイドのリクエストフォージェリ(CWE-918) [NVD評価]

1. CVE-2026-47357

1. National Vulnerability Database (NVD) : CVE-2026-47357
2. 関連文書 : GitHub - tenable/terrascan: Detect compliance and security violations across Infrastructure as Code to mitigate risk before provisioning cloud native infrastructure.  GitHub

• [2026年05月22日]
    掲載