Improper Input Validation in HashiCorp Vault

緊急 9.8CVE-2020-12757 · BIT-vault-2020-12757 · GHSA-75pc-qvwc-jf3g · 10/06/2020 公開 · 17/06/2026 更新

要点

CVE-2020-12757 は github.com/hashicorp/vault-plugin-secrets-gcp, vault (hashicorp) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.6%（全脆弱性の 75.2% より高い）。
対処：0.6.2, 1.4.2 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/hashicorp/vault-plugin-secrets-gcp Go	`< 0.6.2`	`0.6.2`
vault hashicorp	`≥ 1.4.0, < 1.4.2`	`1.4.2`

概要

HashiCorp Vault and Vault Enterprise 1.4.x before 1.4.2 in Go package github.com/hashicorp/vault-plugin-secrets-gcp/plugin has Incorrect Access Control.

NVD の説明

HashiCorp Vault and Vault Enterprise 1.4.0 and 1.4.1, when configured with the GCP Secrets Engine, may incorrectly generate GCP Credentials with the default time-to-live lease duration instead of the engine-configured setting. This may lead to generated GCP credentials being valid for longer than intended. Fixed in 1.4.2.

参考情報

nvd.nist.gov/vuln/detail/CVE-2020-12757 · ADVISORY
hashicorp/vault-plugin-secrets-gcp#85 · WEB
hashicorp/vault-plugin-secrets-gcp commit e43d208 · WEB
hashicorp/vault · WEB
hashicorp/vault · WEB
hashicorp.com/blog/category/vault · WEB
hashicorp.com/blog/category/vault · Vendor Advisory
GitHub Advisory GHSA-75pc-qvwc-jf3g · ADVISORY

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

要点

CVE-2020-12757 は github.com/hashicorp/vault-plugin-secrets-gcp, vault (hashicorp) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。

今後30日間に悪用される確率（EPSS）：1.6%（全脆弱性の 75.2% より高い）。

対処：0.6.2, 1.4.2 以降に更新してください。

パッケージ

影響を受けるバージョン

修正済みバージョン

github.com/hashicorp/vault-plugin-secrets-gcp

< 0.6.2

0.6.2

vault

hashicorp

≥ 1.4.0, < 1.4.2

1.4.2

概要

HashiCorp Vault and Vault Enterprise 1.4.x before 1.4.2 in Go package github.com/hashicorp/vault-plugin-secrets-gcp/plugin has Incorrect Access Control.

NVD の説明