CVE-2020-25816

Опубликовано: 30 сент. 2020

Источник: nvd

CVSS3: 6.8

CVSS2: 4.9

EPSS Низкий

Описание

HashiCorp Vault and Vault Enterprise versions 1.0 and newer allowed leases created with a batch token to outlive their TTL because expiration time was not scheduled correctly. Fixed in 1.4.7 and 1.5.4.

Ссылки

https://github.com/hashicorp/vault/blob/master/CHANGELOG.md#154
Release Notes
Third Party Advisory
https://www.hashicorp.com/blog/category/vault
Vendor Advisory
https://github.com/hashicorp/vault/blob/master/CHANGELOG.md#154
Release Notes
Third Party Advisory
https://www.hashicorp.com/blog/category/vault
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:hashicorp:vault:*:*:*:*:-:*:*:*

Версия от 1.0.0 (включая) до 1.4.7 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.0.0 (включая) до 1.4.7 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:-:*:*:*

Версия от 1.5.0 (включая) до 1.5.4 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.5.0 (включая) до 1.5.4 (исключая)

EPSS

Процентиль: 62%

0.00435

Низкий

6.8 Medium

CVSS3

4.9 Medium

CVSS2

Дефекты

NVD-CWE-noinfo

Связанные уязвимости

CVE-2020-25816

CVSS3: 6.8

redhat

больше 5 лет назад

GHSA-57gg-cj55-q5g2

CVSS3: 9.8

github

больше 3 лет назад

Token leases could outlive their TTL in HashiCorp Vault