CVE-2026-22015 – Injeção de Variáveis de Ambiente em Função Serverless via Evento

Código do Programa (simulação Python Lambda)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – Injeção de Variáveis de Ambiente em Função Serverless via Evento

Visão Geral

Uma função serverless confia no evento recebido para definir variáveis de ambiente, com o objetivo de depuração. Um atacante pode injetar variáveis de ambiente arbitrárias, sobrescrevendo segredos e alterando o comportamento da função.

Detalhes da Vulnerabilidade

• Tipo: Injeção / Escalação de Privilégios
• Impacto: Roubo de credenciais, corrupção de lógica.
• Causa raiz: A função não valida a origem do evento; dados controlados pelo usuário são mesclados em os.environ.

Demonstração do Exploit

Execute a função localmente e invoque-a com o evento malicioso:

python lambda_env_inject.py

O segredo é sobrescrito para "attacker_controlled".