Vault KVv2 メタデータとシークレット削除ポリシーのバイパスによるサービス拒否

Vault の CVE-2026-3605 は、グローバルパターン (glob) を含むポリシーを介して kvv2 パスにアクセスできる認証済みユーザーが、読み取りまたは書き込みの権限がない秘密を削除し、サービス拒否 (DoS) を引き起こす可能性があります。この脆弱性は、悪意のあるユーザーが名前空間間で秘密を削除したり、秘密データを読み取ったりすることを許可しませんでした。主な影響は、同じ名前空間内の秘密の偶発的または悪意のある損失の可能性です。

Organizations heavily reliant on HashiCorp Vault for secrets management, particularly those utilizing kvv2 paths with wildcard patterns in their policies, are at increased risk. Shared hosting environments where multiple users share Vault access and policies are also particularly vulnerable.

• linux / server:

journalctl -u vault -g 'secret deletion'

• generic web:

curl -I https://vault.example.com/v1/kv/v2/path/with/wildcard | grep -i '403 forbidden'

1. 2026-04-17Disclosure

   disclosure

1. 予約済み2026-03-05
2. 公開日2026-04-17
3. EPSS 更新日2026-04-24

この脆弱性を軽減するには、Vault Community Edition 2.0.0 または Vault Enterprise 2.0.0、1.21.5、1.20.10、または 1.19.16 などのバージョンへのアップグレードを検討してください。さらに、kvv2 パスでグローバルパターン (glob) を使用する Vault アクセスポリシーを慎重に確認してください。ポリシーが各ユーザーまたはロールに必要最小限のアクセス権を付与するように構成されていることを確認してください。攻撃対象領域を減らすために、広範なグローバルパターンではなく、より制限的で具体的なポリシーの使用を検討してください。