HashiCorp Vault गलत हेडर सैनिटाइजेशन के कारण ऑथ प्लगइन्स को टोकन उजागर कर सकता है

CVE-2026-4525 Vault को प्रभावित करता है जब कोई प्रमाणीकरण माउंट 'Authorization' हेडर को अग्रेषित करने के लिए कॉन्फ़िगर किया गया हो। इस परिदृश्य में, यदि 'Authorization' हेडर का उपयोग Vault को प्रमाणित करने के लिए किया जाता है, तो Vault अनजाने में Vault टोकन को प्रमाणीकरण प्लगइन बैकएंड में अग्रेषित करता है। यह एक हमलावर को प्रमाणीकरण प्लगइन बैकएंड को समझौता करने की अनुमति दे सकता है, जिससे Vault में संग्रहीत रहस्यों तक पहुंच प्राप्त हो सकती है या अनधिकृत क्रियाएं निष्पादित की जा सकती हैं। CVSS के अनुसार इस मुद्दे की गंभीरता को 7.5 (उच्च) के रूप में रेट किया गया है। अनपेक्षित प्रमाणीकरण प्लगइन बैकएंड पर Vault टोकन का एक्सपोजर एक महत्वपूर्ण सुरक्षा जोखिम पैदा करता है, क्योंकि यह विशेषाधिकार वृद्धि और संवेदनशील डेटा तक अनधिकृत पहुंच को सुविधाजनक बना सकता है। Vault द्वारा प्रबंधित रहस्यों की अखंडता और गोपनीयता की रक्षा के लिए इस भेद्यता को संबोधित करना महत्वपूर्ण है।

1. आरक्षित2026-03-20
2. प्रकाशित2026-04-17
3. EPSS अद्यतन2026-04-24

CVE-2026-4525 को कम करने के लिए, Vault के उस संस्करण में अपग्रेड करने की अनुशंसा की जाती है जिसमें फिक्स शामिल है। प्रभावित संस्करण 2.0.0, 1.21.5, 1.20.10 और 1.19.16 से पहले के संस्करण हैं। अपग्रेड सबसे प्रभावी समाधान है। यदि तत्काल अपग्रेड संभव नहीं है, तो आप प्रमाणीकरण माउंट कॉन्फ़िगरेशन में 'Authorization' हेडर अग्रेषण कार्यक्षमता को अक्षम कर सकते हैं। Vault के प्रमाणीकरण माउंट कॉन्फ़िगरेशन की सावधानीपूर्वक समीक्षा करें ताकि यह सुनिश्चित हो सके कि 'Authorization' हेडर अनावश्यक रूप से अग्रेषित नहीं किया जा रहा है। Vault टोकन एक्सपोजर के संभावित प्रभाव को सीमित करने के लिए प्रमाणीकरण प्लगइन बैकएंड पर सख्त एक्सेस नियंत्रण लागू करें। प्रमाणीकरण और हेडर अग्रेषण से संबंधित संदिग्ध गतिविधि के लिए Vault लॉग की निगरानी करें।