HashiCorp Vault 存在 KVv2 元数据和密钥删除策略绕过，可能导致拒绝服务

Vault 中的 CVE-2026-3605 允许通过包含通配符 (glob) 的策略访问 kvv2 路径的经过身份验证的用户删除他们无权读取或写入的机密，从而导致拒绝服务 (DoS)。需要注意的是，此漏洞不允许恶意用户跨命名空间删除机密，也无法读取任何机密数据。主要影响是同一命名空间内机密意外或恶意丢失的可能性。

Organizations heavily reliant on HashiCorp Vault for secrets management, particularly those utilizing kvv2 paths with wildcard patterns in their policies, are at increased risk. Shared hosting environments where multiple users share Vault access and policies are also particularly vulnerable.

• linux / server:

journalctl -u vault -g 'secret deletion'

• generic web:

curl -I https://vault.example.com/v1/kv/v2/path/with/wildcard | grep -i '403 forbidden'

1. 2026-04-17Disclosure

   disclosure

1. 已保留2026-03-05
2. 发布日期2026-04-17
3. EPSS 更新日期2026-04-24

为了缓解此漏洞，请升级到 Vault Community Edition 2.0.0 或以下版本之一：Vault Enterprise 2.0.0、1.21.5、1.20.10 或 1.19.16。此外，请仔细审查您的 Vault 访问策略，尤其是那些在 kvv2 路径中使用通配符 (glob) 的策略。确保策略配置为授予每个用户或角色的最小必要访问权限。考虑使用更严格和具体的策略，而不是广泛的通配符，以减少攻击面。