SSRF (Falsification de requête côté serveur) dans github.com/bank-vaults/vault-secrets-webhook (CVE-2026-54725)
Résumé
SSRF dans github.com/bank-vaults/vault-secrets-webhook (CVE-2026-54725). Des informations confidentielles peuvent être exposées. Exploitable via VaultAddrAnnotation. Atténuation : mise à jour vers 1.23.1 ou plus.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Summary
The vault-secrets-webhook reads the vault.security.banzaicloud.io/vault-addr annotation from any ConfigMap or Secret being admitted and uses it as the Vault server address without any validation or allowlist. When a ConfigMap or Secret contains a value prefixed with vault:, the webhook's admission handler synchronously calls the Vault API at the attacker-supplied address from inside the webhook process during the admission review. The webhook additionally grants serviceaccounts/token:create cluster-wide, and the vault-serviceaccount annotation controls which ServiceAccount's JWT is fetched and sent to that address. An attacker who can create ConfigMaps or Secrets in a watched namespace can cause the webhook process to make arbitrary outbound HTTP connections and exfiltrate ServiceAccount JWTs.
Details
parseVaultConfig() at pkg/webhook/config.go:102-107 reads VaultAddrAnnotation unconditionally into vaultConfig.Addr:
if value, ok := annotations[common.VaultAddrAnnotation]; ok {
vaultConfig.Addr = value
}
No URL scheme validation, no hostname allowlist, no RFC-1918 or link-local filter.
MutateConfigMap and MutateSecret at pkg/webhook/configmap.go and pkg/webhook/secret.go call mw.newVaultClient(ctx, vaultConfig) when the object contains at least one vault:... value. Inside newVaultClient, at pkg/webhook/webhook.go:285:
clientConfig.Address = vaultConfig.Addr
vault.NewClientFromConfigWithContext then…
Source: GitHub Security Advisories (Global) NVD GitHub Advisory
Résumé généré automatiquement
Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.
Une vulnérabilité référencée CVE-2026-54725 a été découverte dans github.com/bank-vaults/vault-secrets-webhook.
Des attaquants peuvent cibler un point d'entrée spécifique comme VaultAddrAnnotation à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 9.6/10.
Action : mettez à jour github.com/bank-vaults/vault-secrets-webhook vers 1.23.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « github.com/bank-vaults/vault-secrets-webhook CVE-2026-54725 » sur le site de l'éditeur.
CVE-2026-54725 (github.com/bank-vaults/vault-secrets-webhook) — CWE-918 / CVSS v3 9.6
Vecteur d'attaque : distant (réseau) / sans interaction utilisateur
Surface d'attaque : VaultAddrAnnotation / vaultConfig.Addr / MutateConfigMap / MutateSecret
Correctif : 1.23.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Une SSRF (CWE-918) affecte github.com/bank-vaults/vault-secrets-webhook. Les attaquants atteignent le code vulnérable via VaultAddrAnnotation.
Consultez l'avis de l'éditeur pour les versions affectées de github.com/bank-vaults/vault-secrets-webhook. Surface d'attaque : VaultAddrAnnotation / vaultConfig.Addr / MutateConfigMap / MutateSecret.
Gravité : Critique (CVSS 9.6/10). Des informations confidentielles peuvent être exposées.
Mettre à jour vers 1.23.1.
En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.
Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.
Actions de réponse
Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre
-
1Identify exposure identify
grep -r 'github.com/bank-vaults/vault-secrets-webhook' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/bank-vaults/vault-secrets-webhookを grep し、稼働しているサービス・バージョンを把握する。 -
2Apply patch patch
Upgrade github.com/bank-vaults/vault-secrets-webhook to 1.23.1ステージング環境で 1.23.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3Post-deployment verification verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
Paquets affectés
Références
- package github.com
- web github.com
- web github.com
- web github.com
- web github.com