AWSは2026年10月23日3時30分(日本時間)、AWS SAM CLIのTerraformフックに、OSコマンド注入の脆弱性「CVE-2026-115414」があると公表しました。対象の機能でビルドする際、入力ファイルに介入できる攻撃者に、ビルドを実行する環境で任意のコマンドを動かされる恐れがあります。v1.166.2で修正されており、AWSは最新版への更新を推奨しています。
AWS SAM CLIは、サーバーレスアプリを構築するためのオープンソース基盤です。今回の対象は、Terraformと連携する「sam build --hook-name terraform」です。影響するバージョンは1.63.0以上、1.166.1以下です。
OSコマンド注入とは、入力に含まれた文字が命令として扱われ、意図しないコマンドが実行される問題です。AWSによると、このフックは生成するMakefileのレシピ、つまり実行手順に、Terraformリソースのアドレスを埋め込みます。その際、シェルの特殊文字を十分に無害化していませんでした。
日本での提供状況や地域別の扱いは、発表には書かれていません。発表で示されている確認条件は、SAM CLIのバージョンと対象フックの利用です。
入力元の確認も必要、更新できるまでの回避策は
悪用の条件として示されているのは、攻撃者がビルド入力のTerraform設定やプランファイルに介入できることです。その条件を満たすと、ビルド実行ホスト上で、ビルドユーザーの権限による任意コマンド実行につながる恐れがあります。
このため、確認先はSAM CLIの版だけではありません。どこから設定やプランファイルを受け取り、誰が変更できるかも確認する必要があります。AWSは回避策として、これらの入力を信頼できる提供元に限定することを案内しています。第三者製のTerraformモジュールや共有リポジトリの監査も挙げています。
自社でフォークしたものや派生コードを使っている場合も、更新対象から外さないことが重要です。AWSは、これらにも修正を反映するよう推奨しています。公式版の更新と、社内で使う派生版への反映は、分けて進捗を確認してください。
影響する会社・しない会社
- 影響する: AWS SAM CLIの1.63.0以上、1.166.1以下で「sam build --hook-name terraform」を実行している会社です。特に、入力となるTerraform設定やプランファイルに第三者が介入できるかを確認してください。
- 影響する: SAM CLIのフォークや派生コードで対象の処理を使っている会社です。公式版を更新するだけでなく、利用中のコードへの修正反映を確認する必要があります。
- 影響しない: v1.166.2では、今回の脆弱性は修正済みです。更新済みの環境と未更新の環境を分けて管理してください。
- 影響しない: 対象のTerraformフックを使わない環境は、今回示された実行経路には該当しません。AWSを利用しているというだけで、一律に対象となる発表ではありません。
