Kurzfassung
In @hulumi/policies und @hulumi/drift sind gleich fünf kritische Schwachstellen veröffentlicht worden: CVE-2026-82855, CVE-2026-82856, CVE-2026-82857, CVE-2026-82858 und CVE-2026-82860. Betroffen sind Versionen vor 1.3.2.
Der Kern des Problems ist unschön, aber klar: Die betroffenen Komponenten prüfen Sicherheitsnachweise, IAM-Policies und Reconciliation-Pläne nicht sauber genug. Dadurch können Angreifer Guardrails aushebeln, Rechte ausweiten oder unsichere Aktionen als vertrauenswürdig einschleusen.
Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn sie Infrastruktur- oder Policy-Automation mit diesen Paketen betreiben. Wer die Komponenten produktiv einsetzt, sollte den Update-Pfad auf 1.3.2 priorisieren und danach die eigenen Policies prüfen.
Was ist passiert?
Die Meldungen drehen sich um zwei Pakete aus demselben Umfeld: @hulumi/policies und @hulumi/drift. Beide sollen Sicherheits- und Governance-Regeln in Cloud-Setups durchsetzen. Genau dort liegt die Schwäche.
Bei CVE-2026-82855 akzeptiert die Policy-Prüfung offenbar Nachweise, die gar nicht zum betroffenen Objekt passen. Wer also Evidence aus einer anderen Zone, einem anderen Hostnamen oder einem anderen Repository einreicht, kann Verstöße für die eigentlich betroffene Ressource verdecken.
CVE-2026-82856 betrifft die Prüfung von AWS-IAM-Bedingungen in GitHub-OIDC-Trust-Policies. Hier können bestimmte Set-Operatoren so genutzt werden, dass Wildcard-Subjektbedingungen aus dem Blick der Guardrails verschwinden. Praktisch heißt das: Eine Trust-Policy kann strenger aussehen, als sie tatsächlich ist.
CVE-2026-82857 geht in eine andere Richtung. Hier erlaubt eine Schwäche in einer IAM-Policy für eine wöchentliche Integration Rollenoperationen ohne ausreichende Begrenzung. Mit dem dokumentierten Principal lassen sich laut Beschreibung dauerhaft Rollen mit höheren Rechten in einem Sandbox-Konto anlegen.
CVE-2026-82858 betrifft @hulumi/drift. Das Paket nimmt von außen gelieferte Execute-Pläne an, ohne deren Herkunft sauber genug zu verifizieren. So können untrusted Inputs als vertrauenswürdig durchrutschen und gefährliche Reconciliation-Aktionen auslösen.
Bei CVE-2026-82860 prüft @hulumi/policies Inline- und angehängte IAM-Policies nicht vollständig für eine Administrator-Guardrail. Angreifer können dadurch Policy-Pfade bauen, die praktisch admin-ähnliche Wirkung haben und dennoch an der Kontrolle vorbeikommen.
Technische Details
Alle fünf Schwachstellen sind mit kritisch eingestuft. Das ist hier kein Etikett für die Galerie. Die Kombination aus Policy-Bypass, unvollständiger Validierung und fehlender Provenance-Prüfung trifft den Kern von Cloud-Governance-Werkzeugen.
Besonders heikel ist der Charakter der Fehler: Es geht nicht um einen einzelnen kaputten Parser, sondern um mehrere Stellen, an denen Vertrauen falsch gesetzt wird. Evidence wird akzeptiert, obwohl sie nicht zum Kontext passt. OIDC-Claims werden nicht so ausgewertet, wie es für harte Trust-Policies nötig wäre. Execute-Pläne werden ohne belastbare Herkunft übernommen. Und IAM-Policies werden an den falschen Stellen abgeschnitten betrachtet.
Das ist in der Praxis gefährlicher als ein reiner Crash. Denn die Software läuft weiter, meldet womöglich sogar erfolgreiche Prüfungen und suggeriert Sicherheit. Genau so entstehen Fehlannahmen im Betrieb.
Zu den betroffenen Versionen nennt die Quelle jeweils denselben Schwellenwert: vor 1.3.2. Ob darüber hinaus weitere Nebenlinien oder Forks betroffen sind, lässt die veröffentlichte Information offen.
Wer ist betroffen?
Betroffen sind in erster Linie Teams, die @hulumi/policies oder @hulumi/drift in CI/CD-, Cloud-Governance- oder Policy-as-Code-Workflows einsetzen. Das ist kein Consumer-Thema. Wer diese Pakete nicht nutzt, hat daraus direkt kein Risiko.
Relevanz haben die CVEs für Admins und Plattform-Teams, die Cloudflare-, AWS-IAM- oder GitHub-OIDC-Trust-Policies automatisiert prüfen. Auch Sandbox- und Integrationskonten sind ein Ziel, wenn dort Rollenlifecycle-Operationen laufen und zu großzügig behandelt werden.
Für Unternehmen im DACH-Raum bedeutet das vor allem: Wer auf Self-Service-Deployments, Guardrails und automatisierte Freigaben setzt, sollte die verwendeten Pipelines und Policy-Repositories prüfen. Gerade dort fällt ein Bypass oft erst spät auf, weil die Steuerung vermeintlich korrekt aussieht.
Empfohlene Maßnahmen
Erstes Ziel: auf @hulumi/policies 1.3.2 und @hulumi/drift 1.3.2 aktualisieren, sofern diese Versionen in Ihrer Umgebung verfügbar sind. Vorher sollte klar sein, wo die Pakete eingebunden sind. Nicht nur im Haupt-Repository, auch in Subprojekten, Build-Images und internen Templates.
Danach lohnt ein schneller Reality-Check der eigenen Guardrails. Prüfen Sie, ob Evidence-Quellen sauber an Ressourcen gebunden sind. Schauen Sie auf GitHub-OIDC-Trust-Policies mit ForAnyValue:StringLike oder ähnlichen Konstrukten. Suchen Sie nach Rollenlifecycle-Rechten in Integrationskonten, die zu breit formuliert sind. Und validieren Sie, ob Execute-Pläne aus externen Quellen überhaupt angenommen werden dürfen.
Wenn Sie die betroffenen Komponenten nicht sofort patchen können, schalten Sie die automatischen Freigaben für sensible Pfade temporär enger. Das ist unschön, aber besser als ein stiller Policy-Bypass. Zusätzlich sollten Logs auf ungewöhnliche Evidence-Kombinationen, neue Rollen und unerwartete Reconciliation-Aktionen geprüft werden.
Eine separate Hersteller-URL liegt in den vorliegenden Quellen nicht vor. Deshalb verweisen wir hier ausschließlich auf die NVD-Einträge.
Einschätzung von CyberSecurity-News.de
Die Lage ist ernst, aber nicht für jeden Leser gleich brisant. Wer diese Pakete nicht einsetzt, kann das Thema einordnen und weitergehen. Wer sie aber als Kontrollschicht in der Cloud nutzt, hat ein echtes Problem.
Besonders störend ist, dass hier nicht nur eine einzelne Sicherheitsprüfung schwächelt. Gleich mehrere Stellen nehmen Vertrauen zu großzügig an. Das untergräbt genau die Werkzeuge, auf die Security-Teams sich verlassen, wenn sie Cloud-Ressourcen absichern wollen.
Die Informationslage ist knapp. Mehr als die NVD-Beschreibungen liegt hier nicht vor, daher sollte niemand mehr hineinlesen als belegt ist. Trotzdem reicht das schon für eine klare Handlungsempfehlung: Versionen vor 1.3.2 raus, Policies prüfen, Pipelines kontrollieren.
Fazit
CVE-2026-82855, CVE-2026-82856, CVE-2026-82857, CVE-2026-82858 und CVE-2026-82860 zeigen ein Muster: Zu lockere Validierung in Governance- und Drift-Werkzeugen ist kein Randthema. Sie kann Sicherheitskontrollen aushebeln, ohne laut zu eskalieren.
Wer @hulumi/policies oder @hulumi/drift nutzt, sollte die betroffenen Installationen jetzt identifizieren und auf 1.3.2 bringen. Danach folgt die eigentliche Arbeit: Trust-Policies, Evidence-Flows und Rollenrechte sauber nachziehen.
