---

CVE-2026-22015 – Injection de variables d'environnement dans une fonction serverless via un événement

Code du programme (simulation Lambda Python)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – Injection de variables d'environnement dans une fonction serverless via un événement

Aperçu

Une fonction serverless fait confiance à l'événement entrant pour définir des variables d'environnement, afin de faciliter le débogage. Un attaquant peut injecter des variables d'environnement arbitraires, écrasant les secrets et modifiant le comportement de la fonction.

Détails de la vulnérabilité

• Type : Injection / Élévation de privilèges
• Impact : Vol d'identifiants, corruption de la logique.
• Cause racine : La fonction ne valide pas la source de l'événement ; les données contrôlées par l'utilisateur sont fusionnées dans os.environ.

Démonstration de l'exploitation

Exécutez la fonction localement et appelez-la avec l'événement malveillant :

python lambda_env_inject.py

Le secret est écrasé avec "attacker_controlled".