Medium WID-SEC-2022-0918 1 CVE

Hashicorp Vault: Schwachstelle ermöglicht Umgehen von Sicherheitsvorkehrungen

Published Nov 18, 2021 · Updated May 18, 2023 · Revision 3 · de-DE

Vendor: gentoo Vendor: HashiCorp Vendor: Red Hat Product: Linux Product: OpenShift Container Platform 4.13 Product: Vault Product: Vault < 1.7.6 Product: Vault < 1.8.5 Product: Vault < 1.9.0 Platform: Linux Platform: Windows

Summary

Ein entfernter, authentisierter Angreifer kann eine Schwachstelle in Hashicorp Vault ausnutzen, um Sicherheitsvorkehrungen zu umgehen.

Product

Vault ist ein identitätsbasiertes System zur Verwaltung von Geheimnissen und Verschlüsselung.

Vulnerabilities 1

Critical 9.1

CVE-2021-43998

HashiCorp Vault Incorrect Permission Assignment for Critical Resource

HashiCorp Vault and Vault Enterprise 0.11.0 up to 1.7.5 and 1.8.4 templated ACL policies would always match the first-created entity alias if multiple entity aliases exist for a specified entity and mount combination, potentially resulting in incorrect policy…

github.com/hashicorp/vault Go

Nov 30, 2021

Revision history

2023-05-18 #3
Neue Updates von Red Hat aufgenommen
2022-08-04 #2
Neue Updates von Gentoo aufgenommen
2021-11-18 #1
Initiale Fassung

References

Red Hat Security Advisory RHSA-2023:2138 vom 2023-05-18
https://access.redhat.com/errata/RHSA-2023:2138
Hashicorp Security Advisory vom 2021-11-18
https://discuss.hashicorp.com/t/hcsec-2021-30-vaults-templated-acl-policies-matched-first-created-alias-per-entity-and-auth-backend/32132
Gentoo Linux Security Advisory GLSA-202207-01 vom 2022-08-04
https://security.gentoo.org/glsa/202207-01