Небольшая статья о реализации "Remote Code Execution" (RCE) злоумышленником при работе с
terraform plan. Это особенно актуально, если вы проверяет таким образом PR перед merge в прод бранч.Стало любопытно то, что
terraform plan на первый взгляд кажется довольно безобидным. Сама документация сообщает о том, что "команду можно использовать для проверки, соответствуют ли предлагаемые изменения ожидаемым, прежде чем применять изменения". В статье есть раздел по митигации риска.
#terraform #attack #dev #ops