BDU:2025-13410

Опубликовано: 23 окт. 2025

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость системы контроля доступом Vault и платформы для архивирования корпоративной информации Vault Enterprise связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально сформированного JSON-файла

Вендор

HashiCorp

Наименование ПО

Vault Community Edition

Vault Enterprise

Версия ПО

до 1.21.0 (Vault Community Edition)

до 1.16.27 (Vault Enterprise)

до 1.19.11 (Vault Enterprise)

до 1.20.5 (Vault Enterprise)

до 1.21.0 (Vault Enterprise)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников;

- использование средств межсетевого экранирования для ограничения удалённого доступа к платформе;

- ограничение доступа из внешних сетей (Интернет);

- ограничение доступа к платформе, используя схему доступа по «белым спискам»;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

https://discuss.hashicorp.com/t/hcsec-2025-31-vault-vulnerable-to-denial-of-service-due-to-rate-limit-regression/76710

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-12044
CVE

EPSS

Процентиль: 22%

0.00071

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2025-12044

CVSS3: 7.5

nvd

10 дней назад

Vault and Vault Enterprise (“Vault”) are vulnerable to an unauthenticated denial of service when processing JSON payloads. This occurs due to a regression from a previous fix for [+HCSEC-2025-24+|https://discuss.hashicorp.com/t/hcsec-2025-24-vault-denial-of-service-though-complex-json-payloads/76393] which allowed for processing JSON payloads before applying rate limits. This vulnerability, CVE-2025-12044, is fixed in Vault Community Edition 1.21.0 and Vault Enterprise 1.16.27, 1.19.11, 1.20.5, and 1.21.0.

GHSA-vp5w-xcfc-73wf

CVSS3: 7.5

github

10 дней назад

Hashicorp Vault and Vault Enterprise vulnerable to a denial of service when processing JSON

EPSS

Процентиль: 22%

0.00071

Низкий

7.5 High

CVSS3

7.8 High

CVSS2