PT-2025-31679 · Hashicorp+2 · Vault Enterprise+3

Yarden Porat · Publicado 2025-08-01 · Atualizado 2025-10-01 · CVE-2025-6011

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.7

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do Vault anteriores à 1.20.1 Versões do Vault Enterprise anteriores à 1.20.1 Versão do Vault Enterprise 1.19.7 Versão do Vault Enterprise 1.18.12 Versão do Vault Enterprise 1.16.23

Descrição Um canal lateral de temporização no método de autenticação userpass permitiu que um atacante diferenciasse entre usuários existentes e não existentes, potencialmente permitindo a enumeração de nomes de usuário válidos.

Recomendações Atualize o Vault para a versão 1.20.1 ou posterior. Atualize o Vault Enterprise para a versão 1.20.1 ou posterior. Atualize o Vault Enterprise para a versão 1.19.7 ou posterior. Atualize o Vault Enterprise para a versão 1.18.12 ou posterior. Atualize o Vault Enterprise para a versão 1.16.23 ou posterior.

Correção

Side Channel Attack

Enumeração de Fraquezas

CWE-203

CWE-208

Identificadores relacionados

ALT-PU-2025-12480

ALT-PU-2025-12489

BDU:2025-11264

BIT-VAULT-2025-6011

CVE-2025-6011

GHSA-HH28-H22F-8357

GHSA-MWGR-84FV-3JH9

GO-2025-3839

GO-2025-3854

OPENSUSE-SU-2025:15434-1

OPENSUSE-SU-2025:15460-1

SUSE-SU-2025:02912-1

Produtos afetados

Alt Linux

Red Os

Vault

Vault Enterprise

Referências · 56

• https://github.com/hashicorp/vault · Nota
• https://github.com/openbao/openbao · Nota
• https://github.com/openbao/openbao/commit/4d9b5d3d6486ab9fbd5b644173fa0097015d6626 · Nota
• https://github.com/openbao/openbao/security/advisories/GHSA-hh28-h22f-8357 · Nota
• https://discuss.hashicorp.com/t/hcsec-2025-21-vault-user-enumeration-in-userpass-auth-method/76095 · Nota
• https://discuss.hashicorp.com/t/hcsec-2025-15-timing-side-channel-in-vault-s-userpass-auth-method/76034 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-53942 · Nota
• https://suse.com/security/cve/CVE-2021-21411 · Nota
• https://suse.com/security/cve/CVE-2025-44779 · Nota
• https://github.com/advisories/GHSA-mwgr-84fv-3jh9 · Nota
• https://twitter.com/CVEnew/status/1951349052018143592 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-54386 · Nota
• https://osv.dev/vulnerability/SUSE-SU-2025:02912-1 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2025-54999 · Nota de Segurança
• https://suse.com/security/cve/CVE-2025-54424 · Nota