Extensiones de Gardener provider vulnerables a inyección de código cuando Terraform se utiliza para el aprovisionamiento de infraestructura en github.com/gardener/gardener-extension-provider-aws

La inyección de código en este contexto es extremadamente grave. Un atacante podría explotar esta vulnerabilidad para ejecutar comandos arbitrarios en el sistema Gardener, comprometiendo la infraestructura subyacente. Esto podría resultar en la exfiltración de datos sensibles, la modificación de la configuración del clúster, o incluso el control total del entorno. Dada la naturaleza del aprovisionamiento de infraestructura, el impacto podría extenderse a otros servicios y aplicaciones que dependen de Gardener, ampliando significativamente el radio de explosión. La capacidad de ejecutar código arbitrario implica que un atacante podría instalar puertas traseras persistentes, permitiendo el acceso continuo incluso después de la corrección inicial.

Organizations utilizing Gardener with the AWS extension provider for infrastructure provisioning are at risk. This includes teams heavily reliant on Terraform for automated deployments and those with less stringent input validation practices within their Terraform configurations. Shared hosting environments or deployments where Terraform state files are not adequately secured are particularly vulnerable.

• go / supply-chain:

find /opt/go/src/github.com/gardener/gardener-extension-provider-aws -name '*.go' -print0 | xargs -0 grep -i 'terraform.NewResource' 

• generic web:

curl -I https://<your-gardener-endpoint>/api/v1/extensionproviders/aws | grep -i 'server:'

1. 2025-10-23Disclosure

   disclosure

1. Reservado2025-09-22
2. Publicada2025-10-23
3. Modificada2026-03-03
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar a la versión 1.64.0 o superior de github.com/gardener/gardener-extension-provider-aws. Si la actualización no es inmediatamente posible, se recomienda revisar cuidadosamente las configuraciones de Terraform para identificar posibles puntos de inyección. Implementar controles de validación de entrada estrictos en los scripts de Terraform puede ayudar a prevenir la inyección de código malicioso. Además, se recomienda limitar los privilegios de las cuentas de servicio utilizadas por Terraform para minimizar el impacto en caso de una explotación exitosa. Después de la actualización, confirme la corrección revisando los registros del sistema en busca de actividad sospechosa relacionada con Terraform.