PT-2025-43549 · Hashicorp+1 · Vault Enterprise+2

Toni Tauro · Publicado 2025-10-23 · Atualizado 2025-11-29 · CVE-2025-12044

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do Software Vulnerável e Versões Afetadas Versões do HashiCorp Vault anteriores a 1.16.27 Versões do HashiCorp Vault Enterprise anteriores a 1.16.27 Versões do HashiCorp Vault anteriores a 1.19.11 Versões do HashiCorp Vault Enterprise anteriores a 1.19.11 Versões do HashiCorp Vault anteriores a 1.20.5 Versões do HashiCorp Vault Enterprise anteriores a 1.20.5 Versões do HashiCorp Vault anteriores a 1.21.0 Versões do HashiCorp Vault Enterprise anteriores a 1.21.0

Descrição O HashiCorp Vault e o Vault Enterprise estão suscetíveis a uma condição de negação de serviço não autenticada ao lidar com payloads JSON. Este problema surge de uma regressão em uma correção anterior, que anteriormente permitia que payloads JSON fossem processados antes que os limites de taxa fossem aplicados. Um atacante pode explorar isso enviando um arquivo JSON especialmente elaborado, potencialmente causando uma interrupção do serviço.

Recomendações Versões do Vault anteriores a 1.16.27: Atualize para a versão 1.16.27 ou posterior. Versões do Vault Enterprise anteriores a 1.16.27: Atualize para a versão 1.16.27 ou posterior. Versões do Vault anteriores a 1.19.11: Atualize para a versão 1.19.11 ou posterior. Versões do Vault Enterprise anteriores a 1.19.11: Atualize para a versão 1.19.11 ou posterior. Versões do Vault anteriores a 1.20.5: Atualize para a versão 1.20.5 ou posterior. Versões do Vault Enterprise anteriores a 1.20.5: Atualize para a versão 1.20.5 ou posterior. Versões do Vault anteriores a 1.21.0: Atualize para a versão 1.21.0 ou posterior. Versões do Vault Enterprise anteriores a 1.21.0: Atualize para a versão 1.21.0 ou posterior.

Correção

DoS

Allocation of Resources Without Limits

Enumeração de Fraquezas

CWE-770

Identificadores relacionados

BDU:2025-13410

BIT-VAULT-2025-12044

CVE-2025-12044

GHSA-VP5W-XCFC-73WF

GO-2025-4071

OPENSUSE-SU-2025:15710-1

Produtos afetados

Red Os

Vault

Vault Enterprise

Referências · 98

• https://github.com/hashicorp/vault · Nota
• https://github.com/hashicorp/vault/commit/eedc2b7426f30e57e306229ce697ce81e203ab89 · Nota
• https://github.com/hashicorp/vault/commit/b19e74c29a33ed2a99fc01626104db1a49345df3 · Nota
• https://discuss.hashicorp.com/t/hcsec-2025-31-vault-vulnerable-to-denial-of-service-due-to-rate-limit-regression/76710 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2016-11067 · Nota
• https://suse.com/security/cve/CVE-2025-58073 · Nota
• https://suse.com/security/cve/CVE-2016-11078 · Nota
• https://suse.com/security/cve/CVE-2025-59043 · Nota
• https://twitter.com/dailycve/status/1981497682167321031 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-11375 · Nota
• https://suse.com/security/cve/CVE-2025-54471 · Nota
• https://twitter.com/VulmonFeeds/status/1981558635999236542 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2016-11077 · Nota
• https://twitter.com/pHo9UBenaA/status/1981683109662982606 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-59048 · Nota