CVE-2026-82856: Fejl i @hulumi/policies skjuler brede OIDC-roller

CVE-2026-82856 er en fejl i biblioteket @hulumi/policies, som mange virksomheder bruger som sikkerhedsvagt (guardrail) i deres Pulumi-infrastrukturkode. Biblioteket skal kontrollere, at AWS IAM-tillidspolitikker (regler for, hvem der må påtage sig en rolle) til GitHub Actions OIDC (en godkendelsesmetode, hvor GitHub udsteder tokens, som AWS stoler på) ikke er sat for bredt op. Fejlen ligger i, at biblioteket ikke tjekker de såkaldte set-kvalificerede betingelsesoperatorer korrekt. Det betyder, at en betingelse skrevet med operatoren ForAnyValue:StringLike kan indeholde et jokertegn, uden at kontrollen slår alarm. Resultatet er, at en tillidspolitik, der ser stram ud, i praksis giver adgang til langt flere GitHub-workflows end tilsigtet.

Det rammer virksomheder, der bruger @hulumi/policies i version tidligere end 1.3.2 til at validere AWS IAM-tillidspolitikker for GitHub Actions OIDC. Det er typisk teams, der bygger AWS-infrastruktur med Pulumi og har sat sikkerhedspolitikker op for automatisk at afvise for brede eller usikre IAM-roller. Danske virksomheder med CI/CD-pipelines (automatiseret bygge- og udrulningsflow), der bruger GitHub Actions til at deploye til AWS uden statiske adgangsnøgler, er de mest relevante.

Hvis en tillidspolitik med en skjult jokertegns-betingelse slipper igennem kontrollen, kan en GitHub Actions-workflow fra et repository eller en branch, som IKKE var tiltænkt adgang, alligevel få lov at påtage sig AWS-rollen. Det kan give en angriber, der har skrevet adgang til et forkert repository, eller en person med adgang til en gaflet (forked) workflow, mulighed for at få de samme AWS-rettigheder som den tiltænkte pipeline. I praksis kan det betyde adgang til data, mulighed for at ændre infrastruktur eller oprette nye ressourcer på virksomhedens regning.

CVSS-scoren er 9,8 af 10, hvilket afspejler, at selve konsekvensen, hvis betingelsen bliver udnyttet, er alvorlig: fuld fortrolighed, integritet og tilgængelighed kan blive kompromitteret. Vektoren kræver ikke login og ingen brugerhandling, fordi den beskriver, hvad der sker, når IAM-rollen først kan påtages. I praksis kræver misbrug dog, at angriberen har skrivadgang til et GitHub-repository eller en workflow-fil, der udnytter den manglende kontrol. Der er ingen kendte tilfælde af aktiv udnyttelse på offentliggørelsesdatoen, og der er ikke offentliggjort færdig kode til angreb.

Følg disse skridt for at lukke hullet og fjerne risikoen for skjulte, for brede tillidspolitikker.

1. Opdatér @hulumi/policies til version 1.3.2 eller nyere i alle Pulumi-projekter.
2. Gennemgå eksisterende AWS IAM-tillidspolitikker for GitHub Actions OIDC og se efter operatorer som ForAnyValue:StringLike med brede mønstre i sub-betingelsen.
3. Begræns sub-betingelsen til specifikke repositories, branches eller tags i stedet for jokertegn.
4. Aktivér og gennemgå CloudTrail-logs for AssumeRoleWithWebIdentity, så I kan opdage uventet brug af rollerne.
5. Kør policy-kontrollen igen på alle miljøer efter opdateringen for at bekræfte, at ingen politikker længere fejler.
6. Kontakt os, hvis I ikke selv har ressourcer til at gennemgå IAM-politikker eller vurdere omfanget af eksponeringen.