CVE-2026-22015 – Iniezione di variabili d'ambiente in funzione serverless tramite evento

Codice del programma (simulazione Python Lambda)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – Iniezione di variabili d'ambiente in funzione serverless tramite evento

Panoramica

Una funzione serverless considera attendibile l'evento in ingresso per impostare variabili d'ambiente, pensato per il debug. Un attaccante può iniettare variabili d'ambiente arbitrarie, sovrascrivendo i segreti e alterando il comportamento della funzione.

Dettagli della vulnerabilità

• Tipo: Iniezione / Escalation dei privilegi
• Impatto: Furto di credenziali, corruzione della logica.
• Causa principale: La funzione non valida la sorgente dell'evento; i dati controllati dall'utente vengono uniti a os.environ.

Dimostrazione dell'exploit

Esegui la funzione localmente e invocala con l'evento dannoso:

python lambda_env_inject.py

Il segreto viene sovrascritto con "attacker_controlled".