CVE-2022-36129

HashiCorp Vault Enterprise — nieuwierzytelniony endpoint umożliwia manipulację węzłami HA

CVSS 9.1v3.1pub. 2022-07-26upd. 2024-11-21

HashiCorp Vault Enterprise w wersjach korzystających z Integrated Storage udostępnia nieuwierzytelniony endpoint API, który pozwala na nadpisanie statusu węzła głosującego w klastrze HA. Może to prowadzić do utraty danych lub katastrofalnej awarii infrastruktury.

▸ Pokaż oryginał (EN)

HashiCorp Vault Enterprise 1.7.0 through 1.9.7, 1.10.4, and 1.11.0 clusters using Integrated Storage expose an unauthenticated API endpoint that could be abused to override the voter status of a node within a Vault HA cluster, introducing potential for future data loss or catastrophic failure. Fixed in Vault Enterprise 1.9.8, 1.10.5, and 1.11.1.

🤖 Analiza AI

Jak działa

Podatność wynika z braku weryfikacji uwierzytelnienia (CWE-306) przy dostępie do określonego endpointu API klastra Vault Enterprise działającego w trybie wysokiej dostępności (HA) z Integrated Storage. Nieuwierzytelniony atakujący sieciowy może wysłać żądanie do tego endpointu i zmienić status węzła głosującego (voter status) w klastrze Raft. Manipulacja konfiguracją głosowania w klastrze może zaburzyć mechanizm konsensusu, co w konsekwencji stwarza warunki do przyszłej utraty danych lub poważnej awarii systemu.

Skutki

Atakujący bez żadnego uwierzytelnienia może zmodyfikować konfigurację węzłów klastra Vault HA, potencjalnie doprowadzając do utraty integralności danych lub całkowitej niedostępności usługi.

Mitygacja

Należy zaktualizować HashiCorp Vault Enterprise do wersji 1.9.8, 1.10.5 lub 1.11.1, w których podatność została naprawiona. Jako obejście do czasu aktualizacji warto ograniczyć dostęp sieciowy do endpointów API Vault na poziomie firewall i sieci.

Kogo dotyczy

HashiCorp Vault Enterprise w wersjach 1.7.0–1.9.7, 1.10.4 oraz 1.11.0, korzystających z Integrated Storage w konfiguracji klastra HA

Uwagi

Podatność dotyczy wyłącznie wersji Enterprise — nie ma wpływu na edycję open-source Vault. Problem jest powiązany z funkcją Integrated Storage (Raft), czyli nie dotyczy konfiguracji z zewnętrznym backendem np. Consul.