CVE-2025-6000

Atak wymaga posiadania konta operatora w głównej przestrzeni nazw (root namespace) z uprawnieniami zapisu do endpointu sys/audit. Jeśli w konfiguracji Vault ustawiony jest katalog wtyczek (plugin directory), atakujący może poprzez odpowiednio spreparowane żądanie do sys/audit doprowadzić do wykonania dowolnego kodu na poziomie systemu operacyjnego hosta. Mechanizm podatności klasyfikowany jest jako code injection (CWE-94), co oznacza możliwość wstrzyknięcia i uruchomienia złośliwego kodu.

Atakujący może uzyskać wykonanie dowolnego kodu na hoście z uprawnieniami procesu Vault, co w praktyce oznacza pełne przejęcie kontroli nad serwerem, możliwość eksfiltracji sekretów oraz dalszy lateral movement w infrastrukturze.

Należy zaktualizować do wersji Vault Community Edition 1.20.1 lub odpowiednio Vault Enterprise 1.20.1, 1.19.7, 1.18.12 albo 1.16.23. Dodatkowo, jako środek tymczasowy, warto zweryfikować i ograniczyć liczbę kont z uprawnieniami zapisu do sys/audit w root namespace oraz rozważyć usunięcie konfiguracji plugin directory, jeśli nie jest wymagana.

HashiCorp Vault Community Edition oraz Vault Enterprise — wszystkie wersje przed 1.20.1 (Community Edition), a także Enterprise w wersjach przed 1.20.1, 1.19.7, 1.18.12 i 1.16.23, pod warunkiem że w konfiguracji ustawiony jest katalog wtyczek (plugin directory).

Podatność wymaga wysokich uprawnień (PR:H) — konta operatora w root namespace z prawem zapisu do sys/audit — co ogranicza powierzchnię ataku, jednak zakres C:H/I:H/A:H przy zmianie kontekstu (S:C) uzasadnia ocenę CVSS 9.1. Szczegóły opublikowane przez HashiCorp pod adresem HCSEC-2025-14.