プラットフォーム
go
コンポーネント
hashicorp/vault
修正版
2.0.0
2.0.0
1.21.5
CVE-2026-4525は、HashiCorp Vaultの認証マウントが「Authorization」ヘッダーをパススルーする設定の場合に発生する脆弱性です。この脆弱性により、Vaultは認証プラグインバックエンドにVaultトークンを転送してしまう可能性があります。影響を受けるバージョンは0.11.2から2.0.0です。バージョン2.0.0、1.21.5、1.20.10、1.19.16で修正されています。
CVE-2026-4525 は、Vault の認証マウントが 'Authorization' ヘッダーを転送するように構成されている場合に影響します。このシナリオでは、'Authorization' ヘッダーが Vault への認証に使用される場合、Vault は誤って Vault トークンを認証プラグインのバックエンドに転送します。これにより、攻撃者が認証プラグインのバックエンドを侵害し、Vault に保存されているシークレットにアクセスしたり、不正な操作を実行したりする可能性があります。この問題の重大度は、CVSS に従って 7.5 (高) と評価されています。意図しない認証プラグインのバックエンドへの Vault トークンの公開は、特権昇格と機密データへの不正アクセスを容易にする可能性があるため、重大なセキュリティリスクをもたらします。Vault によって管理されるシークレットの機密性と完全性を保護するために、この脆弱性を対処することが重要です。
この脆弱性は、攻撃者が Vault に送信される 'Authorization' ヘッダーを制御できる場合に悪用されます。攻撃者がこのヘッダーを操作して有効な Vault トークンを含めることができる場合、Vault はそのトークンを認証プラグインのバックエンドに転送します。認証プラグインのバックエンドは、その後、攻撃者が実行すべきではないリソースにアクセスしたり、アクションを実行したりするために、このトークンを使用する可能性があります。悪用の可能性は、Vault の構成と認証プラグインのバックエンドのセキュリティに依存します。'Authorization' ヘッダーが認証に広く使用され、認証プラグインのバックエンドが適切に保護されていない環境は、より脆弱です。
エクスプロイト状況
EPSS
0.02% (4% パーセンタイル)
CISA SSVC
CVE-2026-4525 を軽減するには、修正が含まれている Vault のバージョンにアップグレードすることをお勧めします。影響を受けるバージョンは、2.0.0、1.21.5、1.20.10、および 1.19.16 以前です。アップグレードが最も効果的な解決策です。直ちにアップグレードできない場合は、認証マウント構成で 'Authorization' ヘッダーの転送機能を無効にすることができます。Vault の認証マウント構成を注意深く確認し、'Authorization' ヘッダーが不必要に転送されていないことを確認してください。Vault トークンの公開の潜在的な影響を制限するために、認証プラグインのバックエンドに厳格なアクセス制御を実装してください。認証とヘッダー転送に関連する疑わしいアクティビティについて、Vault のログを監視してください。
Actualice Vault a la versión 2.0.0, 1.21.5, 1.20.10 o 1.19.16. Desactive la autorización de paso del encabezado 'Authorization' en las configuraciones de los auth mounts, o asegúrese de que el encabezado 'Authorization' se esté utilizando únicamente para autenticarse en Vault y no se esté pasando a los backends de auth plugin.
脆弱性分析と重要アラートをメールでお届けします。
2.0.0、1.21.5、1.20.10、および 1.19.16 以前のバージョンが影響を受けます。
使用している Vault のバージョンを確認してください。パッチが適用されたバージョンより前のバージョンを使用している場合は、脆弱です。
認証トークンなどの認証情報を送信するために使用される HTTP ヘッダーです。
Vault がユーザーの認証情報を検証するために使用するシステムまたはサービスです。
認証マウント構成で 'Authorization' ヘッダーの転送を無効にすることが、一時的な回避策です。
CVSS ベクトル
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。