HashiCorp Vault 拒绝服务漏洞 (CVE-2023-5954)

漏洞类型 内存泄漏 发现时间 2023-11-10 漏洞等级 中危
MPS编号 MPS-5zl0-enty CVE编号 CVE-2023-5954 漏洞影响广度 广

漏洞危害

OSCS 描述
HashiCorp Vault 是用于秘密管理、加密即服务和特权访问管理的工具
在受影响版本中,触发策略检查的 HashiCorp Vault 和 Vault Enterprise 入站客户端请求可能导致无限制地消耗内存。攻击者可以向Vault服务器发送大量的入站客户端请求,造成拒绝服务攻击。
参考链接:https://www.oscs1024.com/hd/MPS-5zl0-enty

影响范围及处置方案

OSCS 平台影响范围和处置方案

影响范围 处置方式 处置方法
github.com/hashicorp/vault (-∞, 1.13.10) 更新 将组件 github.com/hashicorp/vault 升级到 1.13.10 或更高版本
github.com/hashicorp/vault [1.14.0, 1.14.6) 更新 将组件 github.com/hashicorp/vault 升级到 1.14.6 或更高版本
github.com/hashicorp/vault [1.15.0, 1.15.2) 更新 将组件 github.com/hashicorp/vault 升级到 1.15.2 或更高版本
参考链接:https://www.oscs1024.com/hd/MPS-5zl0-enty

排查方式

方式1:使用漏洞检测CLI工具来排查使用文档:https://www.murphysec.com/docs/faqs/integration/cli.html
方式2:使用漏洞检测IDEA插件排查使用文档:https://www.murphysec.com/docs/faqs/integration/jetbrains-ide-plugin.html
方式3:接入GitLab进行漏洞检测排查使用文档:https://www.murphysec.com/docs/faqs/integration/gitlab.html
更多排查方式:https://www.murphysec.com/docs/faqs/integration/

本文参考链接

https://www.oscs1024.com/hd/MPS-5zl0-enty

https://github.com/advisories/GHSA-4qhc-v8r6-8vwm

https://nvd.nist.gov/vuln/detail/CVE-2023-5954

https://discuss.hashicorp.com/t/hcsec-2023-33-vault-requests-triggering-policy-checks-may-lead-to-unbounded-memory-consumption/59926

(0)
上一篇 2023年11月9日 下午8:00
下一篇 2023年11月10日 下午12:00

相关推荐

  • @strapi/plugin-users-permissions<4.24.2 存在 token 泄露风险 (CVE-2024-34065)

    漏洞类型 使用捕获-重放进行的认证绕过 发现时间 2024-06-13 漏洞等级 高危 MPS编号 MPS-3xsj-n2yz CVE编号 CVE-2024-34065 漏洞影响广度 漏洞危害 OSCS 描述 Strapi 是开源的内容管理系统,@strapi/plugin-users-permissions 插件用于用户权限管理。 @strapi/plug…

    漏洞 2024年6月13日
    0
  • MOVEit Transfer<2023.1.0 权限提升漏洞 (CVE-2023-6218)

    漏洞类型 权限管理不当 发现时间 2023-11-30 漏洞等级 高危 MPS编号 MPS-067x-zk3j CVE编号 CVE-2023-6218 漏洞影响广度 小 漏洞危害 OSCS 描述 MOVEit Transfer 是一种用于安全文件传输和协作的企业级解决方案,群组管理员有权执行密码重置、创建或删除帐户、设置权限等操作。 MOVEit Trans…

    2023年11月30日
    0
  • Glibc ld.so 本地权限提升漏洞【POC公开】 (CVE-2023-4911)

    漏洞类型 越界写入 发现时间 2023-10-08 漏洞等级 高危 MPS编号 MPS-9vzd-wc5f CVE编号 CVE-2023-4911 漏洞影响广度 广 漏洞危害 OSCS 描述 Glibc 是GNU项目中的标准C库,为程序提供核心库功能和系统调用封装。 由于 Glibc 的 GNU C 库中的动态加载程序 ld.so 在处理 GLIBC_TUN…

    2023年10月9日
    0
  • Apache bRPC 存在http请求走私风险 (CVE-2024-23452)

    漏洞类型 HTTP请求走私 发现时间 2024-02-08 漏洞等级 中危 MPS编号 MPS-2glc-5ao0 CVE编号 CVE-2024-23452 漏洞影响广度 一般 漏洞危害 OSCS 描述 Apache bRPC 是百度开源的工业级 RPC 框架,常用于搜索、存储、机器学习等高性能系统。 Apache bRPC 0.9.5至1.7.0版本中由于…

    2024年2月9日
    0
  • Zabbix Server Audit Log SQL注入导致RCE (CVE-2024-22120)

    漏洞类型 SQL注入 发现时间 2024-05-20 漏洞等级 严重 MPS编号 MPS-ytof-ah8v CVE编号 CVE-2024-22120 漏洞影响广度 漏洞危害 OSCS 描述 Zabbix 是开源的网络监控工具,用于监控网络服务、服务器和网络设备的性能和可用性。 受影响版本中,由于 audit.c 中的 zbx_auditlog_global…

    漏洞 2024年5月21日
    0