阿里云漏洞库

中危 HashiCorp Vault 安全漏洞(CVE-2023-3462)

CVE编号

CVE-2023-3462

利用情况

暂无

补丁情况

官方补丁

披露时间

2023-08-01

漏洞描述

使用LDAP身份验证方法时，HashiCorp的Vault和Vault Enterprise存在用户枚举漏洞。攻击者可以提交存在和不存在的LDAP用户的请求，并观察来自Vault的响应，以检查帐户是否在LDAP服务器上有效。Vault 1.14.1和1.13.5中修复了此漏洞。

解决建议

"将组件 github.com/hashicorp/vault/builtin/credential/ldap 升级至 1.13.5 及以上版本"
"将组件 github.com/hashicorp/vault/builtin/credential/ldap 升级至 1.14.1 及以上版本"
"将组件 github.com/hashicorp/vault/vault 升级至 1.13.5 及以上版本"
"将组件 github.com/hashicorp/vault 升级至 1.13.5 及以上版本"
"将组件 github.com/hashicorp/vault/vault 升级至 1.14.1 及以上版本"

参考链接
https://discuss.hashicorp.com/t/hcsec-2023-24-vaults-ldap-auth-method-allows-...

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	hashicorp	vault	*	From (including) 1.13.0	Up to (excluding) 1.13.5
	运行在以下环境
	应用	hashicorp	vault	1.14.0	-

攻击路径

本地
攻击复杂度

困难
权限要求

管控权限
影响范围

有限影响
EXP成熟度

未验证
补丁情况

官方补丁
数据保密性

无影响
数据完整性

无影响
服务器危害

无影响
全网数量

N/A

CWE-ID	漏洞类型
CWE-203	通过差异性导致的信息暴露

中危 HashiCorp Vault 安全漏洞(CVE-2023-3462)

漏洞描述

解决建议

参考链接

受影响软件情况