Все бюллетени/sisyphus_riscv64/ALT-PU-2025-12460-1
ALT-PU-2025-12460-1

Обновление пакета vault в ветке sisyphus_riscv64

Версия1.13.12-alt8
Задание#0
Опубликовано2025-09-29
Макс. серьёзностьCRITICAL
Серьёзность:

Закрытые проблемы (9)

BDU:2025-09562
CRITICAL9.1

Уязвимость компонента sys/audit платформ для архивирования корпоративной информации Vault Enterprise и Vault Community Edition, позволяющая нарушителю получить несанкционированный доступ на выполнение произвольного кода

Опубликовано: 2025-08-08Изменено: 2025-09-12
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
CVSS 2.0КРИТИЧЕСКАЯ 9.0
CVSS:2.0/AV:N/AC:L/Au:S/C:C/I:C/A:C
Ссылки
BDU:2025-09564
MEDIUM5.3

Уязвимость механизма блокировки пользователя платформ для архивирования корпоративной информации Vault Enterprise и Vault Community Edition, позволяющая нарушителю обойти существующие ограничения безопасности

Опубликовано: 2025-08-08Изменено: 2025-09-12
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
CVSS 2.0СРЕДНЯЯ 5.0
CVSS:2.0/AV:N/AC:L/Au:N/C:N/I:P/A:N
Ссылки
BDU:2025-09565
HIGH7.2

Уязвимость платформ для архивирования корпоративной информации Vault Enterprise и Vault Community Edition, связанная с некорректным присваиванием привилегий, позволяющая нарушителю повысить свои привилегии до root уровня

Опубликовано: 2025-08-08Изменено: 2025-09-10
CVSS 3.xВЫСОКАЯ 7.2
CVSS:3.x/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
CVSS 2.0КРИТИЧЕСКАЯ 9.0
CVSS:2.0/AV:N/AC:L/Au:S/C:C/I:C/A:C
Ссылки
BDU:2025-11264
LOW3.7

Уязвимость функции CompareHashAndPassword платформ для архивирования корпоративной информации Vault Enterprise и Vault Community Edition, связанная с раскрытием информации из-за несоответствия во времени, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2025-09-17
CVSS 3.xНИЗКАЯ 3.7
CVSS:3.x/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
CVSS 2.0НИЗКАЯ 2.6
CVSS:2.0/AV:N/AC:H/Au:N/C:P/I:N/A:N
Ссылки
CVE-2025-5999
HIGH7.2

A privileged Vault operator with write permissions to the root namespace’s identity endpoint could escalate their own or another user’s token privileges to Vault’s root policy. Fixed in Vault Community Edition 1.20.0 and Vault Enterprise 1.20.0, 1.19.6, 1.18.11 and 1.16.22.

Опубликовано: 2025-08-01Изменено: 2025-08-13
CVSS 3.xВЫСОКАЯ 7.2
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Ссылки
CVE-2025-6000
CRITICAL9.1

A privileged Vault operator within the root namespace with write permission to {{sys/audit}} may obtain code execution on the underlying host if a plugin directory is set in Vault’s configuration. Fixed in Vault Community Edition 1.20.1 and Vault Enterprise 1.20.1, 1.19.7, 1.18.12, and 1.16.23.

Опубликовано: 2025-08-01Изменено: 2025-08-13
CVSS 3.xКРИТИЧЕСКАЯ 9.1
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Ссылки
CVE-2025-6004
MEDIUM5.3

Vault and Vault Enterprise’s (“Vault”) user lockout feature could be bypassed for Userpass and LDAP authentication methods. Fixed in Vault Community Edition 1.20.1 and Vault Enterprise 1.20.1, 1.19.7, 1.18.12, and 1.16.23.

Опубликовано: 2025-08-01Изменено: 2025-08-13
CVSS 3.xСРЕДНЯЯ 5.3
CVSS:3.x/CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Ссылки
CVE-2025-6010
NONE

Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority.

Опубликовано: 2026-02-10
CVE-2025-6011
LOW3.7

A timing side channel in Vault and Vault Enterprise’s (“Vault”) userpass auth method allowed an attacker to distinguish between existing and non-existing users, and potentially enumerate valid usernames for Vault’s Userpass auth method. Fixed in Vault Community Edition 1.20.1 and Vault Enterprise 1.20.1, 1.19.7, 1.18.12, and 1.16.23.

Опубликовано: 2025-08-01Изменено: 2025-08-13
CVSS 3.xНИЗКАЯ 3.7
CVSS:3.x/CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N
Ссылки