プラットフォーム
go
コンポーネント
hashicorp/vault
修正版
2.0.0
2.0.0
1.21.5
Vault PKIエンジンのACME検証機能において、HTTP-01およびTLS-ALPN-01チャレンジの発行時にローカルネットワークのターゲットを適切に検証しない脆弱性が存在します。この脆弱性を悪用されると、攻撃者は機密情報を漏洩させることが可能です。影響を受けるバージョンはVault 1.15.0から2.0.0です。Vault Community Edition 2.0.0、Vault Enterprise 2.0.0、1.21.5、1.20.10、1.19.16で修正されています。
VaultのPKIエンジンにおけるCVE-2026-5052は、http-01およびtls-alpn-01チャレンジの発行時に、ACME検証がローカルターゲットを拒否しないことを許可します。 つまり、検証リクエストは意図されたWebサーバーではない場合でも、ネットワーク内のローカルIPアドレスに送信される可能性があります。 ネットワークアクセスを持つ攻撃者は、これを悪用して、外部からアクセスすべきではない内部サービスで公開されている機密情報（パスワード、APIキー、個人情報など）を入手する可能性があります。 この脆弱性の深刻度は、情報漏洩の可能性から、中程度（CVSS 5.3）と評価されています。ただし、悪用にはネットワークアクセスが必要です。
Vaultが実行されているネットワークにアクセスできる攻撃者は、この脆弱性を悪用する可能性があります。 攻撃者は内部ネットワークに偽のWebサーバーを設定し、Vaultを使用して偽のWebサーバーに対して検証する証明書を発行する可能性があります。 これにより、攻撃者は正当なサービスを対象とするHTTPSトラフィックを傍受したり、偽のWebサーバーで公開されている機密情報にアクセスしたりする可能性があります。 Vaultが安全でない内部ネットワークに公開されている環境で、悪用が発生する可能性が高くなります。
エクスプロイト状況
EPSS
0.01% (2% パーセンタイル)
CISA SSVC
CVE-2026-5052に関連するリスクを軽減するには、Vaultをパッチバージョンの最新に更新することをお勧めします。 影響を受けるバージョンは、Vault Community Edition 2.0.0およびVault Enterprise 2.0.0以前、および1.21.5、1.20.10、1.19.16です。 さらに、PKIエンジンの構成を確認して、ACME検証が外部の正当なWebサーバーのみを対象とするようにしてください。 ネットワークセグメンテーションと厳格なアクセス制御を実装することで、成功した悪用の潜在的な影響を制限できます。
Actualice Vault a la versión 2.0.0 o a una de las versiones parcheadas (1.21.5, 1.20.10, 1.19.16) para mitigar la vulnerabilidad de Server-Side Request Forgery (SSRF) en la validación de desafíos ACME. Asegúrese de revisar las notas de la versión para cualquier cambio de configuración necesario después de la actualización. Desactive la validación de ACME si no es necesaria.
脆弱性分析と重要アラートをメールでお届けします。
Vault Community Edition 2.0.0およびVault Enterprise 2.0.0以前、および1.21.5、1.20.10、1.19.16のバージョンが脆弱です。
使用しているVaultのバージョンを確認してください。 リストされている脆弱なバージョンのいずれかである場合は、アップグレードする必要があります。
すぐにアップグレードできない場合は、外部の攻撃者が脆弱性を悪用するのを防ぐために、Vaultへのネットワークアクセスを制限することを検討してください。
公開される可能性のある情報には、パスワード、APIキー、個人情報などの内部サービスで公開されている機密データが含まれます。
ACME検証が外部の正当なWebサーバーのみを対象とするように、PKIエンジンの構成を確認してください。 厳格なアクセス制御を実装してください。
CVSS ベクトル
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。