CVE-2026-22015 – इवेंट के माध्यम से सर्वरलेस फ़ंक्शन एनवायरनमेंट वेरिएबल इंजेक्शन

प्रोग्राम कोड (Python Lambda सिमुलेशन)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – इवेंट के माध्यम से सर्वरलेस फ़ंक्शन एनवायरनमेंट वेरिएबल इंजेक्शन

अवलोकन

एक सर्वरलेस फ़ंक्शन डिबगिंग के उद्देश्य से एनवायरनमेंट वेरिएबल सेट करने के लिए इनकमिंग इवेंट पर भरोसा करता है। एक हमलावर मनमाने एनवायरनमेंट वेरिएबल इंजेक्ट कर सकता है, जिससे सीक्रेट्स ओवरराइड हो जाते हैं और फ़ंक्शन का व्यवहार बदल जाता है।

भेद्यता विवरण

• प्रकार: इंजेक्शन / विशेषाधिकार वृद्धि
• प्रभाव: क्रेडेंशियल चोरी, लॉजिक भ्रष्टाचार।
• मूल कारण: फ़ंक्शन इवेंट के स्रोत को मान्य नहीं करता; उपयोगकर्ता‑नियंत्रित डेटा os.environ में मर्ज हो जाता है।

शोषण प्रदर्शन

फ़ंक्शन को स्थानीय रूप से चलाएँ और दुर्भावनापूर्ण इवेंट के साथ इनवोक करें:

python lambda_env_inject.py

सीक्रेट "attacker_controlled" में ओवरराइट हो जाता है।