Terraform MCP-server gjenbrukte ett token på tvers av brukere: CVSS 10.0 fikset i 1.1.0

The Hacker News oppsummerer elleve hull som HashiCorp, Veeam og Django Software Foundation lappet i samme runde, og de to alvorligste er scoret på hver sin skala. Veeams 9,5 følger CVSS 4.0, HashiCorps 10,0 følger 3.1, så tallene kan ikke stables mot hverandre. Forskjellen som betyr noe for deg er hvor hullene sitter: Veeam Service Provider Console kjører hos driftsleverandører, mens Terraform MCP Server er broen mellom KI-assistenten din og infrastrukturkoden.

CVE-2026-16498 rammer stateless HTTP-modus. MCP-biblioteket under serveren delte ikke ut unike sesjons-ID-er, og credential-cachen brukte nettopp de ID-ene til å skille brukere fra hverandre. Ett Terraform-token kunne dermed bli gjenbrukt for senere forespørsler uansett hvilket token avsenderen selv oppga. Standardoppsettet for en sentral installasjon er stateful, og der gjelder CVE-2026-16496 med score 8,9: cachen slo opp på MCP-sesjons-ID alene, uten å binde klienten til tokenet som opprettet den. Den tredje, CVE-2026-14869 med score 8,6, er SSRF. Middleware avviste en klientoppgitt Terraform-adresse når den kom som HTTP-header, men ikke når samme verdi kom som query-parameter.

Kjører du serveren i stdio-modus lokalt, altså én bruker på egen maskin, er du ikke berørt. Hullene lever i flerbruker-HTTP-modusen HashiCorp anbefalte da serveren ble generelt tilgjengelig i juni. Ingen av de elleve CVE-ene sto i CISAs KEV-katalog per 5. august 2026, og ingen offentlig proof-of-concept hadde dukket opp.

Mønsteret gjentar seg i MCP-økosystemet: HashiCorps Consul MCP-server lekket også tokenet sitt tidligere i år. Feilen ligger sjelden i verktøyet selv, men i en antakelse om laget under det.

Hva bør du gjøre?

1. Oppgrader Terraform MCP Server til 1.1.0 eller nyere (1.2.0 kom 4. august), Veeam Service Provider Console til 9.3.0.35057 og Django til 6.0.8 eller 5.2.17.
2. Kan du ikke oppgradere nå, sperr nettverkstilgangen til Streamable HTTP-lytteren til betrodde brukere og behandle MCP-sesjons-ID-er som hemmeligheter.
3. Sjekk om GeoDjango-oppsettet ditt har staff-brukere med view-tilgang på en modell med spatial-felt. Det er den dokumenterte veien inn i CVE-2026-15307.