CVE-2026-74797
NiskieCVSS 3.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
OpenTofu przed wersją 1.11.4 zawiera podatność na atak typu denial of service w poleceniu tofu init podczas przetwarzania złośliwie spreparowanych archiwów .zip dla pakietów providerów lub modułów. Atakujący mogą spowodować nadmierne zużycie CPU, kontrolując zawartość archiwum .zip serwowanego podczas instalacji zależności, co obniża wydajność systemu i uniemożliwia terminowe zakończenie procesu init.
Ocena ryzyka
Ryzyko polega na zakłóceniu działania usług, co może prowadzić do niedostępności systemów zarządzanych przez OpenTofu. Atak może być przeprowadzony zdalnie, jeśli atakujący może kontrolować źródło pakietów.
Rekomendacja
Zaleca się aktualizację OpenTofu do wersji 1.11.4 lub nowszej, która zawiera poprawkę. Należy również ograniczyć zaufanie do źródeł pakietów i stosować mechanizmy weryfikacji integralności archiwów.
Oryginalny opis (angielski, źródło NVD)
OpenTofu versions before 1.11.4 contain a denial of service vulnerability in the tofu init command when processing maliciously-crafted .zip archives for provider or module packages. Attackers can cause excessive CPU usage by controlling .zip archive content served during dependency installation, degrading system performance and preventing timely completion of the init process.