Vulnérabilité dans vault-cli (CVE-2021-43837)
Résumé
Vulnérabilité dans vault-cli (CVE-2021-43837). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via vault. Atténuation : mise à jour vers 3.0.0 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Impact
What kind of vulnerability is it? Who is impacted?
vault-cli features the ability for rendering templated values (as explained in the documentation). When a secret starts with the prefix !template!, vault-cli interprets the rest of the contents of the secret as a Jinja2 template.
Jinja2 is a powerful templating engine and it's not designed to safely render arbitrary templates. An attacker controlling a jinja2 template rendered on a machine can trigger arbitrary code, making this a Remote Code Execution (RCE) risk.
If the content of the vault can be completely trusted, then this is not a problem. Otherwise, if your threat model includes cases where an attacker can manipulate a secret value read from the vault using vault-cli, then this vulnerability may impact you.
This does not impact vault itself, except for the fact that the attacker, having an RCE on the machine that executes vault-cli, may abuse the token that vault-cli uses, to read, write or delete other data from the vault.
Patches
Has the problem been patched? What versions should users upgrade to?
In 3.0.0, the code related to interpreting vault templated secrets has been removed entirely.
Workarounds
Is there a way for users to fix or remediate the vulnerability without upgrading?
Using the environment variable VAULT_CLI_RENDER=false or the flag --no-render (placed between vault-cli and…
Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2021-43837 a été découverte dans vault-cli.
Des attaquants peuvent cibler un point d'entrée spécifique comme vault à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système.
Action : mettez à jour vault-cli vers 3.0.0 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « vault-cli CVE-2021-43837 » sur le site de l'éditeur.
CVE-2021-43837 (vault-cli) — CWE-74
Vecteur d'attaque : réseau adjacent / sans interaction utilisateur
Surface d'attaque : vault
Correctif : 3.0.0 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une vulnérabilité (CWE-74) affecte vault-cli. Les attaquants atteignent le code vulnérable via vault.
Consultez l'avis de l'éditeur pour les versions affectées de vault-cli. Surface d'attaque : vault.
Gravité : ?. L'exploitation peut entraîner la prise de contrôle totale du système.
Mettre à jour vers 3.0.0.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'vault-cli' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
vault-cliを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade vault-cli to 3.0.0ステージング環境で 3.0.0 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- advisory nvd.nist.gov
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web github.com
- web podalirius.net