BDU:2024-07431

Уязвимость платформ для архивирования корпоративной информации HashiCorp Vault и Vault Enterprise, связанная с вставкой конфиденциальной информации в файл журнала, позволяющая нарушителю получить доступ к конфиденциальной информации

Опубликовано: 2024-09-24

Описание

Уязвимость платформ для архивирования корпоративной информации HashiCorp Vault и Vault Enterprise связана с сохранением открытых текстовых значений клиентских токенов и аксессоров токенов в журнале аудита. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Затрагиваемое ПО и версии

РЕД ОС (7.3)Vault (до 1.17.5)Vault Enterprise (до 1.16.9)Vault Enterprise (от 1.17.0 до 1.17.5)

Способ устранения

Использование рекомендаций:
Для HashiCorp Vault и Vault Enterprise:
https://discuss.hashicorp.com/t/hcsec-2024-18-vault-leaks-client-token-and-token-accessor-in-audit-devices/

Для РедоС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://discuss.hashicorp.com/t/hcsec-2024-18-vault-leaks-client-token-and-token-accessor-in-audit-devices/https://redos.red-soft.ru/support/secure/https://vuldb.com/?id.276283

Проверьте безопасность своего сайта и почты → Полная проверка домена