CVE-2026-22015 – イベントによるサーバーレス関数の環境変数インジェクション

プログラムコード（Python Lambda シミュレーション）

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – イベントによるサーバーレス関数の環境変数インジェクション

概要

サーバーレス関数は、デバッグを目的として、受信したイベントを信頼して環境変数を設定します。攻撃者は任意の環境変数を注入し、シークレットを上書きして、関数の動作を変更できます。

脆弱性の詳細

• 種別: インジェクション / 権限昇格
• 影響: 認証情報の窃取、ロジックの破壊。
• 根本原因: 関数はイベントの送信元を検証していないため、ユーザー制御のデータが os.environ にマージされます。

エクスプロイトのデモ

関数をローカルで実行し、悪意のあるイベントを指定して呼び出します：

python lambda_env_inject.py

シークレットは "attacker_controlled" に上書きされます。