HashiCorp Vault: Denial of Service durch komplexe Anfrage-Payloads

Beschreibung

Ein Angreifer kann bei HashiCorp Vault eine speziell aufgebaute komplexe Payload einreichen, die trotz Einhaltung des Standard-Limits für die Anfragegrösse zu übermässigem Speicher- und CPU-Verbrauch führt. Dies kann einen Timeout in der Audit-Subroutine von Vault und dadurch die Nichtverfügbarkeit des Vault-Servers verursachen. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Update auf Vault Community Edition 1.20.3 bzw. Vault Enterprise 1.20.3, 1.19.9, 1.18.14 oder 1.16.25.

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in HashiCorp (Vault/Terraform/Consul)

• Consul MCP Server: Sitzungsisolierung im Stateless-Modus unzureichend CVE-2026-16326
• terraform-mcp-server: Cross-Tenant Credential Reuse im Streamable-HTTP-Modus CVE-2026-16498
• Azure Key Vault – Privilegieneskalation durch fehlerhafte Authentifizierung CVE-2026-62825
• obsidian-tc: Vault-Prüfung im Tool-Dispatch fehlt CVE-2026-77366
• Deserialisierung nicht vertrauenswürdiger Daten in Veritas Enterprise Vault CVE-2024-53909
• Unsichere Deserialisierung in Veritas Enterprise Vault CVE-2024-53910