PT-2026-33397 · Hashicorp+1 · Vault Enterprise+2

Publicado 2026-04-16 · Atualizado 2026-05-29 · CVE-2026-3605

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:S/C:N/I:C/A:C

Name of the Vulnerable Software and Affected Versions HashiCorp Vault Community Edition versões anteriores a 2.0.0 HashiCorp Vault Enterprise versões anteriores a 1.19.16 HashiCorp Vault Enterprise versões anteriores a 1.20.10 HashiCorp Vault Enterprise versões anteriores a 2.0.0

Description Um usuário autenticado com acesso a um caminho kvv2 por meio de uma política contendo um glob pode ser capaz de excluir segredos que não tinha autorização para ler ou gravar, resultando em negação de serviço. Este problema não permite a exclusão de segredos entre namespaces nem a leitura de dados de segredos.

Recommendations Atualize o HashiCorp Vault Community Edition para a versão 2.0.0. Atualize o HashiCorp Vault Enterprise para a versão 1.19.16, 1.20.10 ou 2.0.0.

Correção

DoS

LPE

Authentication Bypass Using an Alternate Path or Channel

Enumeração de Fraquezas

CWE-288

Identificadores relacionados

BDU:2026-05648

BIT-VAULT-2026-3605

CVE-2026-3605

GHSA-M2W4-8GGF-RJ47

OPENSUSE-SU-2026:10594-1

Produtos afetados

Red Os

Vault Community Edition

Vault Enterprise

Referências · 18

• https://github.com/hashicorp/vault · Nota
• https://discuss.hashicorp.com/t/hcsec-2026-05-vault-kvv2-metadata-and-secret-deletion-policy-bypass-denial-of-service/77342 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-3605 · Nota
• https://twitter.com/VulmonFeeds/status/2045012246049271917 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-39396 · Nota
• https://suse.com/security/cve/CVE-2026-39388 · Nota
• https://osv.dev/vulnerability/GHSA-m2w4-8ggf-rj47 · Aviso do Fabricante
• https://twitter.com/giuseppe_1337/status/2048856033661956569 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2026-5807 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-3605 · Nota de Segurança
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/uyazvimost-vault-cve-2026-3605-7.3 · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti-red-os-8-0/uyazvimost-vault-cve-2026-3605-8.0 · Nota
• https://osv.dev/vulnerability/BIT-vault-2026-3605 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2045102619899613637 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-05648 · Nota de Segurança