「HashiCorp Vault」のLDAP認証で多要素認証バイパスのおそれ

HashiCorpが提供するシークレット管理ツール「HashiCorp Vault」において、特定条件下で多要素認証が回避される脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

ユーザー名のエイリアス設定が有効でユーザー名の前後に空白が含まれる場合、LDAP認証において設定どおりに多要素認証（MFA）が適用されず、バイパスされる脆弱性「CVE-2025-6013」が明らかとなった。

任意のユーザー名を設定できる場合などに脆弱性を悪用でき、多要素認証を回避されるおそれがある。

複数の脆弱性が判明し、7月24日のアップデートで修正が行われたが、前回の修正とは異なる脆弱性となる。

同社では、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「6.5」と評価。重要度は上から3番目にあたる「中（Moderate）」とレーティングされている。

脆弱性の判明を受け、開発チームは現地時間8月6日、同脆弱性や複数のバグを解消した「同1.20.2」「同1.19.8」「同1.18.13」「同1.16.24」をリリースした。

（Security NEXT - 2025/08/07 ）ツイート