BDU:2025-06183

Опубликовано: 09 июн. 2023

Источник: fstec

CVSS3: 5.4

CVSS2: 5.5

EPSS Низкий

Описание

Уязвимость веб-интерфейса платформ для архивирования корпоративной информации HashiCorp Vault и Vault Enterprise связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS)

Вендор

ООО «Ред Софт»

HashiCorp

Наименование ПО

РЕД ОС

Vault

Vault Enterprise

Версия ПО

7.3 (РЕД ОС)

до 1.11.11 (Vault)

до 1.12.7 (Vault)

до 1.13.3 (Vault)

до 1.14.0 (Vault)

до 1.14.0 (Vault Enterprise)

до 1.13.3 (Vault Enterprise)

до 1.12.7 (Vault Enterprise)

до 1.11.11 (Vault Enterprise)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,5)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,4)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Vault и Vault Enterprise:

https://discuss.hashicorp.com/t/hcsec-2023-17-vault-s-kv-diff-viewer-allowed-html-injection/54814

Для РедоС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-2121
CVE

EPSS

Процентиль: 68%

0.00587

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2

Связанные уязвимости

CVE-2023-2121

CVSS3: 4.3

redhat

около 2 лет назад

Vault and Vault Enterprise's (Vault) key-value v2 (kv-v2) diff viewer allowed HTML injection into the Vault web UI through key values. This vulnerability, CVE-2023-2121, is fixed in Vault 1.14.0, 1.13.3, 1.12.7, and 1.11.11.

CVE-2023-2121

CVSS3: 4.3

nvd

около 2 лет назад

GHSA-gq98-53rq-qr5h

CVSS3: 4.3

github

около 2 лет назад

Hashicorp Vault vulnerable to Cross-site Scripting

ROS-20250526-06

CVSS3: 8.1

redos

24 дня назад

Множественные уязвимости vault

EPSS

Процентиль: 68%

0.00587

Низкий

5.4 Medium

CVSS3

5.5 Medium

CVSS2