シークレット管理ツール「HashiCorp Vault」に複数の脆弱性

HashiCorpのシークレット管理ツール「Vault」に複数の脆弱性が確認された。脆弱性を修正したアップデートが提供されている。

現地時間2025年10月23日にセキュリティアドバイザリを公開し、2件の脆弱性「CVE-2025-11621」「CVE-2025-12044」について明らかにしたもの。「Vault Community Edition」「Vault Enterprise」のいずれも影響を受ける。

「CVE-2025-11621」は、「AWS Auth」メソッドにおける認証キャッシュの照合処理に判明した脆弱性。異なるAWSアカウントからの認証を求められた際にバイパスが可能となる。

「AWS IAM」のロール名が異なるアカウント間で重複していたり、ワイルドカードを用いて設定されている場合に影響があり、機密情報の漏洩や権限の昇格などにつながるおそれがある。

一方「CVE-2025-12044」は、JSONの処理に起因し、CPUやメモリなどのリソースを消費させ、サービス拒否を引き起こすことが可能となる脆弱性。過去に実施された修正に問題があり再発したもので、認証を必要とすることなく悪用が可能だという。

（Security NEXT - 2025/10/24 ）ツイート