PT-2021-19953 · Hashicorp · Hashicorp Vault Enterprise

Publicado 2021-02-01 · Atualizado 2024-06-28 · CVE-2021-3282

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

Nome do software vulnerável e versões afetadas

HashiCorp Vault Enterprise, versões 1.6.0 a 1.6.1

Descrição

A falha permite que o comando do operador Raft remove-peer seja executado em servidores secundários de DR sem autenticação. Isso afeta o HashiCorp Vault Enterprise.

Recomendações

Para as versões 1.6.0 e 1.6.1, atualize para a versão 1.6.2 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao comando remove-peer até que a atualização seja aplicada.

Correção

Improper Authentication

Enumeração de Fraquezas

CWE-287

Identificadores relacionados

BIT-VAULT-2021-3282

CVE-2021-3282

GHSA-RQ95-XF66-J689

GO-2024-2509

Produtos afetados

Hashicorp Vault Enterprise

Referências · 12

• https://github.com/hashicorp/vault/commit/09f9068e22f762da123160233518b440e00bdb3b · Nota
• https://osv.dev/vulnerability/GO-2024-2509 · Aviso do Fabricante
• https://discuss.hashicorp.com/t/hcsec-2021-04-vault-enterprise-s-dr-secondaries-allowed-raft-peer-removal-without-authentication/20337 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-rq95-xf66-j689 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202207-01 · Aviso do Fabricante
• https://t.me/cvenotify/34121 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2021-3282 · Nota de Segurança
• https://t.me/cvenotify/9412 · Publicação no Telegram
• https://t.me/cibsecurity/22894 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-3282 · Aviso do Fabricante
• https://osv.dev/vulnerability/BIT-vault-2021-3282 · Aviso do Fabricante
• https://github.com/advisories/GHSA-rq95-xf66-j689 · Nota