秘密の情報(パスワード、APIの鍵、証明書など)を管理する仕組みの「HashiCorp Vault」と、その派生の「OpenBao」に、同じ根の欠陥が見つかり、修正版が出ています。HashiCorpは2026年10月7日にVaultの勧告4件を出しました。OpenBaoは9月23日と10月1日に勧告14件を出していて、10月22日には、番号の無かった11件にCVEの番号が付きました。
OpenBaoのCriticalとHighの勧告は、「この脆弱性はHashiCorp Vaultに元からある」と書いています。どちらを使っていても、同じように確かめる必要があります。
Vault: 4件の勧告と直った版
HashiCorpの勧告HCSEC-2026-41。Raftのスナップショットの復元でコードの実行の恐れ出典: HashiCorp「HCSEC-2026-41」(引用)
| 勧告 |
CVE |
中身 |
対象 |
| HCSEC-2026-41 |
CVE-2026-105816(CVSS 3.1で8.0) |
保存したプラグインの登録が、決めたプラグインの置き場所の中を指しているかを、実行のときに確かめていなかった。Raftのスナップショットを復元できる強い権限の運用者が、Vaultのホストで任意のコードを実行できる恐れ。Shamirの封印で、外部のプラグインの置き場所を設定しているとき |
Community・Enterprise |
| HCSEC-2026-43 |
CVE-2026-89322 |
ACLのルールを、資源や名前の正しい形(大文字小文字、前後の空白など)で比べていなかった。権限を任された利用者が、はっきり拒否した資源に入れたり、拒否した権限を付けたりできる恐れ |
Community・Enterprise |
| HCSEC-2026-40 |
CVE-2026-105818 |
PKIのACMEの既定の設定(sign-verbatim)で、ACMEで確かめていない名前を証明書に入れてしまうことがあった。なりすましにつながる恐れ |
Community・Enterprise(1.14.0以降) |
| HCSEC-2026-42 |
CVE-2026-105820 |
ACLの方針のキャッシュで、方針の名前に「..」などを入れると、ほかの名前空間(ルートを含む)の方針の権限を使える恐れ |
Enterprise |
直った版は、Community Editionが2.1.2、Enterpriseが2.1.2、1.21.12、1.20.17、1.19.23です。HCSEC-2026-41では、待機のノードや、Enterpriseの性能・災害復旧の副のクラスターを含め、すべてのノードを上げるよう求めています。
上げる前に準備が要ること(Vault)
HashiCorpは、上げたあとに振る舞いが変わる点を書いています。
- ACLのルール(HCSEC-2026-43): 上げたあとは、対象の資源の名前を小文字で比べます。大文字小文字の混じった名前を書いたルールは、拒否のルールを含めて効かなくなるので、上げる前に小文字に書き直します。Enterpriseのセンチネルの方針も同じです。
- プラグイン(HCSEC-2026-41): プラグインの置き場所の外を指す登録(シンボリックリンクを含む)は断られ、その取り付け先は起動時に飛ばされます。そのプラグインは、登録をし直します。
- ACMEの証明書(HCSEC-2026-40): 既定のsign-verbatimでは、確かめていない種類の名前を含む申請を断るようになります。前の振る舞いが要る場合は、新しいsign-verbatim-unsafeを選ぶことになります。
- 方針の名前(HCSEC-2026-42): 「.」や「..」を含む方針の名前は、新しく付けられなくなり、すでに付いているものは無視されます。そのトークンの権限が減ることがあります。
OpenBao: 14件の勧告、2.7.1と2.6.4で全部直る
OpenBaoの勧告は、9月23日の9件(2.7.0と2.6.3で直った)と、10月1日の5件(2.7.1と2.6.4で直った)です。
| 公開 |
深刻度(OpenBaoの勧告) |
中身 |
| 9月23日 |
Critical(CVSS 4.0で9.4) |
Raftのスナップショットの窓口(snapshot・snapshot-force)で、プラグインの登録ごと保存の状態を置き換え、封印を解いたあとに置き場所の外のプラグインを動かせる。この窓口に書き込める攻撃者がコードを実行できる。Raftを使っていなければ当たらない(CVE-2026-104090) |
| 9月23日 |
High(8.2) |
PKIのACMEで、確かめていない名前を含む証明書を出してしまう(CVE-2026-104092) |
| 9月23日 |
High(7.7) |
方針のキャッシュで、名前空間をまたいで権限を使える |
| 9月23日 |
High(7.6) |
大文字小文字などの違う名前で、ACLの拒否をすり抜けられる(CVE-2026-104093) |
| 9月23日 |
Medium(CVSS 3.1で4.7) |
OIDCの画面で、別のサイトへ飛ばされる(オープンリダイレクト) |
| 9月23日 |
Low |
拒否のワイルドカードの扱いで、限られたACLのすり抜け |
| 9月23日 |
Low |
プラグインの登録の窓口が、ルートの名前空間に限られていない |
| 9月23日 |
Low |
プラグインが、形の崩れた値を監査の記録に漏らすことがある |
| 9月23日 |
Low |
AgentとProxyが、決まったヘッダーなしで終了の操作を受け付ける |
| 10月1日 |
Medium(6.3) |
要求の解析の仕方で、役割ごとの回数の制限をすり抜けられる |
| 10月1日 |
Medium(5.3) |
Kubernetesの認証で、取り消したトークンを延長できる |
| 10月1日 |
Low |
AppRoleのSecretIDが、期限を過ぎても使える |
| 10月1日 |
Low |
設定の表示で、ACMEのEABのMACの鍵が見える |
| 10月1日 |
Low |
ルートのトークンの生成と、認証なしの鍵の作り直しの操作が、監査の記録に正しく残らない |
10月1日の5件は、2.7.1と2.6.4で直りました。この2つの版に上げれば、14件とも直ります。CVEの番号は、Critical・High(8.2)・High(7.6)の3件は勧告に書かれています。残りの11件には、10月22日にVulnCheckが番号を割り当て、ドイツのCERT-Bundも同じ日に追記しました。
