CVE-2026-22015 – 이벤트를 통한 서버리스 함수 환경 변수 주입

프로그램 코드(Python Lambda 시뮬레이션)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – 이벤트를 통한 서버리스 함수 환경 변수 주입

개요

서버리스 함수가 디버깅 목적으로 수신 이벤트를 신뢰하여 환경 변수를 설정합니다. 공격자는 임의의 환경 변수를 주입하여 비밀 값을 덮어쓰고 함수의 동작을 변경할 수 있습니다.

취약점 세부 정보

• 유형: 주입 / 권한 상승
• 영향: 자격 증명 탈취, 로직 손상.
• 근본 원인: 함수가 이벤트의 출처를 검증하지 않아 사용자 제어 데이터가 os.environ에 병합됩니다.

악용 데모

함수를 로컬에서 실행하고 악의적인 이벤트로 호출합니다:

python lambda_env_inject.py

비밀 값이 "attacker_controlled"로 덮어써집니다.