¿Qué es la vulnerabilidad CVE-2026-102649 en Burrito?
La vulnerabilidad CVE-2026-102649 afecta al operador Burrito Terraform Automation Collaboration Software (TACoS) para Kubernetes en versiones anteriores a la 0.13.0, con una puntuación CVSS crítica de 9.9. El fallo radica en que el endpoint `POST /api/webhook` acepta eventos de GitHub y GitLab sin firmar cuando las credenciales de un `TerraformRepository` omiten el parámetro `webhookSecret` o lo configuran como un valor vacío, según detalla el aviso técnico oficial GHSA-7m68-72r6-3jx8.
Dado que `Credential.WebhookSecret` es opcional, la librería `go-playground/webhooks` omite por completo la verificación de firmas o tokens cuando el secreto está vacío. Al igual que ocurre en incidentes graves como la vulnerabilidad crítica CVE-2026-112346, la falta de autenticación en pasarelas de automatización expone los sistemas subyacentes a graves abusos remotos.
¿A quién afecta y cómo se produce la explotación?
Cualquier usuario o atacante que alcance el endpoint de `burrito-server` y conozca la URL de un repositorio rastreado puede falsificar eventos para crear o eliminar recursos personalizados del tipo `TerraformPullRequest`. Estos eventos manipulados pueden incluir campos elegidos por el atacante como la rama, la base y el identificador.
Para los eventos de tipo `pull_request` en GitHub, el controlador obtiene los archivos modificados empleando el número de pull request real pero no contrasta la rama del payload con dicha solicitud. Esta deficiencia de validación comparte similitudes de riesgo con fallos analizados previamente como la vulnerabilidad crítica CVE-2026-115905, donde la confianza indebida en entradas externas facilita la ejecución indeseada.
¿Cómo me protejo frente a esta vulnerabilidad?
Para asegurar los despliegues y mitigar este riesgo crítico, es indispensable aplicar los parches oficiales de seguridad y revisar la configuración de credenciales. Ningún repositorio debe operar con secretos de webhook en blanco.
Sigue estos pasos detallados para aplicar la mitigación de forma correcta en tu infraestructura:
- Actualiza el operador Burrito para Kubernetes a la versión 0.13.0 o superior desde la página oficial de la.
- Audita todos los recursos personalizados de tipo `TerraformRepository` para asegurarte de que ningún objeto carece de un `webhookSecret` configurado.
- Valida los cambios aplicados revisando el parche de código fuente oficial en la para verificar la obligatoriedad del secreto.