HashiCorp Consul Template could reveal Vault secret contents in error messages

高 7.5CVE-2022-38149 · GHSA-8449-7gc2-pwrp · GO-2022-0980 · 17/08/2022 公開 · 17/06/2026 更新

要点

CVE-2022-38149 は github.com/hashicorp/consul-template, consul template (hashicorp) に影響する深刻度「高」 (CVSS 7.5) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.85%（全脆弱性の 58.1% より高い）。
対処：0.28.3, 0.29.2, 0.27.3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
github.com/hashicorp/consul-template Go	`≥ 0.28.0, < 0.28.3≥ 0.29.0, < 0.29.2< 0.27.3`	`0.28.30.29.20.27.3`
consul template hashicorp	`< 0.29.2`	`0.29.2`

概要

In HashiCorp Consul Template through version 0.29.1, invalid templates could inadvertently reveal the contents of Vault secret in errors returned by the *template.Template.Execute 5 method, when given a template using Vault secret contents incorrectly. This method has been updated to redact Vault secrets when creating an error string, making it safe to log the error.. This issue was fixed in version 0.29.2.

NVD の説明

HashiCorp Consul Template up to 0.27.2, 0.28.2, and 0.29.1 may expose the contents of Vault secrets in the error returned by the *template.Template.Execute method, when given a template using Vault secret contents incorrectly. Fixed in 0.27.3, 0.28.3, and 0.29.2.