「HashiCorp Vault」に脆弱性 - 複雑なJSON処理でDoS状態に

シークレット管理ツール「HashiCorp Vault」にサービス拒否が発生するおそれがある脆弱性が明らかとなった。アップデートが提供されている。

現地時間2025年8月28日にセキュリティアドバイザリを公開し、脆弱性「CVE-2025-6203」について明らかにしたもの。コミュニティ版、エンタープライズ版のいずれも影響を受ける。

複雑なJSONペイロードを送信することにより、CPUやメモリなどのリソースを枯渇させ、監査処理をタイムアウトさせることが可能。すべてのリクエスト処理が監査処理の完了を待つ設計のため、サーバ全体でサービス拒否に陥る。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「7.5」、重要度は4段階中、上から2番目にあたる「高（High）」だが、認証などの機能が停止し、利用において大きな影響を及ぼすおそれがある。

HashiCorpは「Vault 1.20.3」「同1.19.9」「同1.18.14」「同1.16.25」をリリースし、脆弱性に対処。「JSON」の処理においてサイズや深さの上限値、エントリー数などの制限を設けるパラメータを追加するなど対策を講じた。

（Security NEXT - 2025/09/08 ）ツイート