GitHubのセキュリティ勧告に、Terragruntの脆弱性「CVE-2026-64672」が掲載されています。v1.1.1未満が対象で、条件がそろうと一時領域外の既存ディレクトリが削除されるおそれがあります。v1.1.1で修正済みで、勧告は全利用者に更新を強く推奨しています。
一時領域のリンクをたどり、別の場所を削除するおそれ
対象は、設定内のリポジトリを一時領域に複製する「terragrunt catalog」コマンドです。影響する版では、複製先のパスがリポジトリURLとシステム一時ディレクトリの場所だけで決まります。
また、複製先にシンボリックリンクがあっても拒否せず、そのリンクをたどります。シンボリックリンクは、別のファイルやディレクトリを参照する仕組みです。攻撃者は複製先を事前に計算し、被害者がコマンドを実行する前に、不正なリンクを置くことができます。
その結果、一時領域の外にある既存ディレクトリが削除され、そこへリポジトリが再び複製される可能性があります。この処理はTerragruntを実行したユーザーの権限で行われます。ただし、攻撃者が指定できるのは親ディレクトリで、削除対象の末尾の名前はリポジトリURLから決まります。
リモートからの悪用ではなく、共有環境が確認の焦点
攻撃には、共有のシステム一時ディレクトリに書き込めるローカルユーザー、またはプロセスが必要です。さらに、被害者がterragrunt catalogを実行する前に、不正なリンクが存在していなければなりません。勧告は、この脆弱性をリモートからは悪用できないとしています。
影響する環境の例は、複数ユーザーで使うサーバーや、共有CIランナーです。CIランナーは、ビルドやテストなどの自動処理を実行する環境を指します。確認では、導入版だけでなく、同じ実行環境に誰が書き込めるかも見る必要があります。
修正版は、予測可能な複製先パスの生成をやめています。未更新の場合、勧告は実行環境の環境変数「TMPDIR」「TMP」「TEMP」を、信頼できない者に操作させないよう求めています。
勧告の公開日は資料から確認できません。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Terragrunt v1.1.1未満を利用する会社です。特にterragrunt catalogを使う共有サーバーや共有CIランナーでは、一時領域へ書き込めるユーザーやプロセスの確認が必要です。
- 影響する: 単一ユーザー端末で影響版を使う会社も更新対象です。ただし、敵対的なローカルプロセスがない場合、勧告はリスクが小さいとしています。
- 影響しない: Terragruntを利用していない会社は、この製品の脆弱性の対象ではありません。
- 影響しない: Terragrunt v1.1.1は、この脆弱性を修正済みです。社内の一部だけ更新済みなら、残る実行環境を別途確認してください。
情シスが今日やること
- 今日、開発・基盤担当に利用状況を照会します。 資産台帳とCIの実行設定を確認し、Terragruntの版、terragrunt catalogの使用有無、実行場所を一覧にします。個人端末と共有環境を分けて記録してください。
- 共有環境は、一時領域と実行権限を先に確認します。 サーバーやCIランナーの実行設定で、TMPDIR、TMP、TEMPの値と変更できる担当者を確認します。一時領域に書き込めるユーザーやプロセス、Terragruntの実行ユーザーも基盤担当と照合します。
- 影響版の管理者に修正版への更新を依頼します。 v1.1.1で修正済みであることを伝え、実行環境ごとの更新担当と実施日を決めます。勧告には具体的な更新期限は書かれていないため、社内の対応期限を設定してください。
- 更新を待つ環境は、次の実行前に設定を点検します。 信頼できない者がTMPDIR、TMP、TEMPを操作できないことを確認します。更新後も実際に使われる版を確認し、対応結果を開発・基盤担当と共有してください。
