PT-2021-6606 · Hashicorp+2 · Hashicorp Consul+3

CVE-2021-32574 · Publicado 2021-07-15 · Atualizado 2024-08-21

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:C/A:N

Nome do software vulnerável e versões afetadas

HashiCorp Consul e Consul Enterprise, versões 1.3.0 a 1.10.0

Descrição

O problema está relacionado à ausência de validação da identidade do serviço de destino no nome alternativo do sujeito codificado na configuração TLS do proxy Envoy. Isso permite que um invasor remoto comprometa a integridade dos dados. O xds não garante que o Nome Alternativo do Sujeito de um upstream seja validado.

Recomendações

Para as versões 1.3.0 a 1.7.13, atualize para a versão 1.8.14.

Para as versões 1.8.0 a 1.9.7, atualize para a versão 1.9.8.

Para a versão 1.10.0, atualize para a versão 1.10.1.

Como solução alternativa temporária, considere restringir o acesso ao componente xds vulnerável até que um patch esteja disponível.

Correção

Improper Certificate Validation

Enumeração de Fraquezas

CWE-295

Identificadores relacionados

ALT-PU-2021-3445

ALT-PU-2023-7106

ALT-PU-2024-8028

BDU:2022-01882

BIT-CONSUL-2021-32574

CVE-2021-32574

GHSA-25GF-8QRR-G78R

GO-2022-0894

Produtos afetados

Alt Linux

Hashicorp Consul Enterprise

Debian

Hashicorp Consul

Referências · 21

• https://github.com/hashicorp/consul/releases/tag/v1.10.1 · Nota
• https://github.com/hashicorp/consul/pull/10619 · Nota
• https://osv.dev/vulnerability/BIT-consul-2021-32574 · Aviso do Fabricante
• https://security.gentoo.org/glsa/202208-09 · Aviso do Fabricante
• https://t.me/cvenotify/17876 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-32574 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-32574 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-32574 · Aviso do Fabricante
• https://hashicorp.com/blog/category/consul · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2021-32574 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2021-32574 · Aviso do Fabricante
• https://github.com/advisories/GHSA-25gf-8qrr-g78r · Nota
• https://cve.org/CVERecord?id=CVE-2021-32574 · Nota de Segurança
• https://osv.dev/vulnerability/GO-2022-0894 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-32574 · Nota de Segurança