BDU:2023-08660

Уязвимость компонента max_request_duration платформ для архивирования корпоративной информации HashiCorp Vault и Vault Enterprise, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2023-12-13

Описание

Уязвимость компонента max_request_duration платформ для архивирования корпоративной информации HashiCorp Vault и Vault Enterprise связана с неограниченным распределением ресурсов при обработке HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)Vault (от 1.12.0 до 1.13.12)Vault (от 1.15.0 до 1.15.4)Vault (от 1.14.0 до 1.14.8)Vault Enterprise (от 1.14.0 до 1.14.8)Vault Enterprise (от 1.15.0 до 1.15.4)Vault Enterprise (от 1.12.0 до 1.13.12)

Способ устранения

Использование рекомендаций:
https://discuss.hashicorp.com/t/hcsec-2023-34-vault-vulnerable-to-denial-of-service-through-memory-exhaustion-when-handling-large-http-requests/60741
https://developer.hashicorp.com/vault/install

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://vuldb.com/?id.247319 https://discuss.hashicorp.com/t/hcsec-2023-34-vault-vulnerable-to-denial-of-service-through-memory-exhaustion-when-handling-large-http-requests/60741 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена