Duy Linh
Writer
HashiCorp mới đây đã công bố hai lỗ hổng nghiêm trọng trong Vault và Vault Enterprise, có thể cho phép kẻ tấn công bỏ qua xác thực và thực hiện tấn công từ chối dịch vụ (DoS) vào cơ sở hạ tầng.
Lỗ hổng bảo mật nghiêm trọng của HashiCorp Vault cho phép bỏ qua xác thực và tấn công DoS
Lỗ hổng DoS trong xử lý JSON của Vault
Theo bản tin bảo mật HCSEC-2025-31 công bố ngày 23/10/2025, lỗ hổng này xuất phát từ lỗi trong cách Vault xử lý dữ liệu JSON. Kẻ tấn công chưa xác thực có thể gửi các yêu cầu JSON được thiết kế đặc biệt để kích hoạt tình trạng DoS.
Nguyên nhân là cơ chế giới hạn tốc độ chỉ được áp dụng sau khi xử lý tải trọng JSON thay vì trước đó, khiến CPU và bộ nhớ bị tiêu tốn quá mức, dẫn đến sập hệ thống hoặc ngừng dịch vụ.
Các phiên bản bị ảnh hưởng bao gồm Vault Community Edition từ 1.20.3 đến 1.20.4 và các bản doanh nghiệp từ 1.16.25 đến 1.20.4. Lỗ hổng này, được gán mã CVE-2025-12044, là một bước thụt lùi khi bản vá trước đó từng xử lý lỗi tương tự trong JSON.
Lỗ hổng xác thực AWS cho phép truy cập trái phép
Lỗ hổng thứ hai, CVE-2025-11621 (HCSEC-2025-30), nghiêm trọng hơn khi cho phép bỏ qua cơ chế xác thực trong phương thức AWS của Vault. Vấn đề ảnh hưởng đến các bản Vault Community Edition từ 0.6.0 đến 1.20.4 và các phiên bản doanh nghiệp tương ứng.
Nguyên nhân đến từ lỗi xác thực bộ nhớ đệm không chính xác. Khi xác thực vai trò STS, Vault chỉ kiểm tra sự tồn tại của vai trò trong AWS mà không xác thực ID tài khoản. Nếu các vai trò IAM trùng tên trên nhiều tài khoản AWS, kẻ tấn công có thể giả mạo người dùng hợp pháp và truy cập trái phép vào dữ liệu bí mật.
Một lỗi tương tự trong phương thức xác thực EC2 chỉ xác minh ID AMI mà bỏ qua ID tài khoản, cho phép leo thang đặc quyền và di chuyển ngang giữa các tài khoản AWS khác nhau.
Khuyến nghị khắc phục và tác động bảo mật
HashiCorp khuyến nghị người dùng nâng cấp ngay lên các phiên bản vá: Vault Community Edition 1.21.0 hoặc Vault Enterprise 1.21.0, 1.20.5, 1.19.11 và 1.16.27. Với các hệ thống chưa thể nâng cấp, cần rà soát cấu hình AWS Auth Method, loại bỏ ký tự đại diện (*) trong bound_principal_iam và kiểm tra các vai trò IAM trùng tên.
Hai lỗ hổng này được phát hiện bởi Toni Tauro (Adfinis AG) và Pavlos Karakalidis. Do Vault thường được dùng để quản lý khóa mã hóa, thông tin xác thực cơ sở dữ liệu và mã thông báo API trong toàn doanh nghiệp, các lỗ hổng này gây rủi ro lớn cho tổ chức đang phụ thuộc vào Vault trong quản lý bí mật.
Việc kết hợp giữa lỗ hổng DoS và bỏ qua xác thực cho thấy sự cần thiết của việc duy trì hệ thống Vault luôn được cập nhật, đồng thời triển khai chiến lược phòng thủ đa tầng để bảo vệ hạ tầng quan trọng.
Đọc chi tiết tại đây: https://gbhackers.com/hashicorp-vault-vulnerabilities/
Lỗ hổng bảo mật nghiêm trọng của HashiCorp Vault cho phép bỏ qua xác thực và tấn công DoS
Lỗ hổng DoS trong xử lý JSON của Vault
Theo bản tin bảo mật HCSEC-2025-31 công bố ngày 23/10/2025, lỗ hổng này xuất phát từ lỗi trong cách Vault xử lý dữ liệu JSON. Kẻ tấn công chưa xác thực có thể gửi các yêu cầu JSON được thiết kế đặc biệt để kích hoạt tình trạng DoS.
Nguyên nhân là cơ chế giới hạn tốc độ chỉ được áp dụng sau khi xử lý tải trọng JSON thay vì trước đó, khiến CPU và bộ nhớ bị tiêu tốn quá mức, dẫn đến sập hệ thống hoặc ngừng dịch vụ.
Các phiên bản bị ảnh hưởng bao gồm Vault Community Edition từ 1.20.3 đến 1.20.4 và các bản doanh nghiệp từ 1.16.25 đến 1.20.4. Lỗ hổng này, được gán mã CVE-2025-12044, là một bước thụt lùi khi bản vá trước đó từng xử lý lỗi tương tự trong JSON.
Lỗ hổng xác thực AWS cho phép truy cập trái phép
Lỗ hổng thứ hai, CVE-2025-11621 (HCSEC-2025-30), nghiêm trọng hơn khi cho phép bỏ qua cơ chế xác thực trong phương thức AWS của Vault. Vấn đề ảnh hưởng đến các bản Vault Community Edition từ 0.6.0 đến 1.20.4 và các phiên bản doanh nghiệp tương ứng.
Nguyên nhân đến từ lỗi xác thực bộ nhớ đệm không chính xác. Khi xác thực vai trò STS, Vault chỉ kiểm tra sự tồn tại của vai trò trong AWS mà không xác thực ID tài khoản. Nếu các vai trò IAM trùng tên trên nhiều tài khoản AWS, kẻ tấn công có thể giả mạo người dùng hợp pháp và truy cập trái phép vào dữ liệu bí mật.
Một lỗi tương tự trong phương thức xác thực EC2 chỉ xác minh ID AMI mà bỏ qua ID tài khoản, cho phép leo thang đặc quyền và di chuyển ngang giữa các tài khoản AWS khác nhau.
Khuyến nghị khắc phục và tác động bảo mật
HashiCorp khuyến nghị người dùng nâng cấp ngay lên các phiên bản vá: Vault Community Edition 1.21.0 hoặc Vault Enterprise 1.21.0, 1.20.5, 1.19.11 và 1.16.27. Với các hệ thống chưa thể nâng cấp, cần rà soát cấu hình AWS Auth Method, loại bỏ ký tự đại diện (*) trong bound_principal_iam và kiểm tra các vai trò IAM trùng tên.
Hai lỗ hổng này được phát hiện bởi Toni Tauro (Adfinis AG) và Pavlos Karakalidis. Do Vault thường được dùng để quản lý khóa mã hóa, thông tin xác thực cơ sở dữ liệu và mã thông báo API trong toàn doanh nghiệp, các lỗ hổng này gây rủi ro lớn cho tổ chức đang phụ thuộc vào Vault trong quản lý bí mật.
Việc kết hợp giữa lỗ hổng DoS và bỏ qua xác thực cho thấy sự cần thiết của việc duy trì hệ thống Vault luôn được cập nhật, đồng thời triển khai chiến lược phòng thủ đa tầng để bảo vệ hạ tầng quan trọng.
Đọc chi tiết tại đây: https://gbhackers.com/hashicorp-vault-vulnerabilities/
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview