CVE-2026-22015 – Внедрение переменных окружения в бессерверную функцию через событие

Программный код (имитация Python Lambda)

# lambda_env_inject.py - Vulnerable function that reads env from event
import os, json

def handler(event, context):
    # The event contains environment variable overrides (debug feature)
    for key, value in event.get('env', {}).items():
        os.environ[key] = value
    return os.environ.get('SECRET', 'not set')

CVE-2026-22015 – Внедрение переменных окружения в бессерверную функцию через событие

Обзор

Бессерверная функция доверяет входящему событию установку переменных окружения, что предназначено для отладки. Злоумышленник может внедрить произвольные переменные окружения, переопределяя секреты и изменяя поведение функции.

Детали уязвимости

• Тип: Внедрение / повышение привилегий
• Воздействие: Кража учетных данных, нарушение логики.
• Корневая причина: Функция не проверяет источник события; данные, контролируемые пользователем, попадают в os.environ.

Демонстрация эксплуатации

Запустите функцию локально и вызовите её с вредоносным событием:

python lambda_env_inject.py

Секрет перезаписывается на «attacker_controlled».