BDU:2025-06973

Опубликовано: 02 мая 2025

Источник: fstec

CVSS3: 4.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость плагина KVv2 платформ для архивирования корпоративной информации Vault Community Edition и Vault Enterprise связана с недостатками механизма формирования отчетов об ошибках. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкциоинрованный доступ к защищаемой информации

Вендор

Novell Inc.

ООО «Ред Софт»

Red Hat Inc.

HashiCorp

Наименование ПО

openSUSE Tumbleweed

РЕД ОС

Red Hat Openshift Data Foundation

Vault Enterprise

Vault Community Edition

Версия ПО

- (openSUSE Tumbleweed)

7.3 (РЕД ОС)

4 (Red Hat Openshift Data Foundation)

до 1.19.3 (Vault Enterprise)

до 1.19.3 (Vault Community Edition)

до 1.18.9 (Vault Enterprise)

1.17.16 (Vault Enterprise)

1.16.20 (Vault Enterprise)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Novell Inc. openSUSE Tumbleweed -

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 4,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Vault Community Edition и Vault Enterprise:

https://discuss.hashicorp.com/t/hcsec-2025-09-vault-may-expose-sensitive-information-in-error-logs-when-processing-malformed-data-with-the-kv-v2-plugin

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-4166

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2025-4166.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-4166
CVE

EPSS

Процентиль: 2%

0.00015

Низкий

4.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2025-4166

CVSS3: 4.5

redhat

4 месяца назад

Vault Community and Vault Enterprise Key/Value (kv) Version 2 plugin may unintentionally expose sensitive information in server and audit logs when users submit malformed payloads during secret creation or update operations via the Vault REST API. This vulnerability, identified as CVE-2025-4166, is fixed in Vault Community 1.19.3 and Vault Enterprise 1.19.3, 1.18.9, 1.17.16, 1.16.20.

CVE-2025-4166

CVSS3: 4.5

nvd

4 месяца назад

ROS-20250616-10

CVSS3: 4.5

redos

2 месяца назад

Уязвимость vault

GHSA-gcqf-f89c-68hv

CVSS3: 4.5

github

4 месяца назад

Hashicorp Vault Community vulnerable to Generation of Error Message Containing Sensitive Information

EPSS

Процентиль: 2%

0.00015

Низкий

4.5 Medium

CVSS3

7.8 High

CVSS2