シークレット管理製品「Vault Secrets Operator」に深刻な脆弱性

HashiCorpのシークレット管理製品「Vault Secrets Operator」に深刻な脆弱性が明らかとなった。

現地時間2026年8月13日にセキュリティアドバイザリを公開し、脆弱性「CVE-2026-8715」について明らかにしたもの。

「同1.3.0」で導入された「AppRole認証」の「secretIDPath」フィールドに起因する脆弱性としており、「Kubernetes」の認証済みユーザーで、「VaultAuth」および「VaultConnection」「VaultStaticSecret」の作成、取得権限が必要となるなど、一定の条件のもと悪用が可能だという。

「secretIDPath」のパス検証に問題があり、Podのファイルシステム上で参照可能な範囲が制限されていないため、任意ファイルを読み取り、含まれる認証情報などを攻撃者の管理するエンドポイントへ送信することで、情報の窃取が可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.6」、重要度は4段階中もっとも高い「クリティカル（Critical）」とレーティングされている。

同社は脆弱性を修正した「同1.5.0」へのアップデートを検討するよう呼びかけている。同バージョンでは「secretIDPath」を削除しており、設定の移行などが必要となるとしている。

（Security NEXT - 2026/08/17 ） ツイート

PR

関連記事

「TeamCity」の脆弱性悪用に注意 - 対応状況の確認や侵害調査を
Ciscoがアップデートを事前告知 - 8月19日に修正版を公開予定
GitLab、XSSをはじめ脆弱性13件を解消
「Ivanti EPM」や「Ivanti Neurons for MDM」に脆弱性 - 修正を実施
「OpenSSL」に脆弱性 - 今後のリリースで修正予定
Windows向け「LINE PC版」のインストーラに脆弱性 - 最新版の利用を
「Adobe Campaign Classic」に緊急更新 - 半月で3度目
Adobe、パッチチューズデーに複数製品の脆弱性を修正
「FortiOS」に複数脆弱性 - 修正版や仮想パッチを用意
会議参加者間でRCE攻撃が可能となる脆弱性 - Zoomが修正