CVE-2025-3879

Опубликовано: 02 мая 2025

Источник: nvd

CVSS3: 6.6

CVSS3: 8.8

EPSS Низкий

Описание

Vault Community, Vault Enterprise (“Vault”) Azure Auth method did not correctly validate the claims in the Azure-issued token, resulting in the potential bypass of the bound_locations parameter on login. Fixed in Vault Community Edition 1.19.1 and Vault Enterprise 1.19.1, 1.18.7, 1.17.14, 1.16.18.

Ссылки

https://discuss.hashicorp.com/t/hcsec-2025-07-vault-s-azure-authentication-method-bound-location-restriction-could-be-bypassed-on-login/74716
Vendor Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 0.10.0 (включая) до 1.16.18 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:-:*:*:*

Версия от 0.10.0 (включая) до 1.19.1 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.17.0 (включая) до 1.17.14 (исключая)

cpe:2.3:a:hashicorp:vault:*:*:*:*:enterprise:*:*:*

Версия от 1.18.0 (включая) до 1.18.7 (исключая)

cpe:2.3:a:hashicorp:vault:1.19.0:*:*:*:enterprise:*:*:*

EPSS

Процентиль: 22%

0.00074

Низкий

6.6 Medium

CVSS3

8.8 High

CVSS3

Дефекты

CWE-863

Связанные уязвимости

CVE-2025-3879

CVSS3: 6.6

redhat

9 месяцев назад

GHSA-f9ch-h8j7-8jwg

CVSS3: 6.6

github

9 месяцев назад

Hashicorp Vault Community vulnerable to Incorrect Authorization

BDU:2025-08559

CVSS3: 6.6

fstec

9 месяцев назад

Уязвимость компонента Azure Auth платформы для архивирования корпоративной информации Vault Enterprise, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

ROS-20250630-07

CVSS3: 6.6

redos

7 месяцев назад

Уязвимость vault

EPSS

Процентиль: 22%

0.00074

Низкий

6.6 Medium

CVSS3

8.8 High

CVSS3

Дефекты

CWE-863