🇰🇷 한글 설명
Vault에는 인증되지 않은 공격자가 루트 토큰 생성 또는 리키(rekey) 작업을 반복적으로 시작하거나 취소하여 단일 진행 중 작업 슬롯을 점유할 수 있는 서비스 거부(DoS) 취약점이 존재합니다. 이로 인해 정상 운영자가 해당 작업을 완료하지 못하게 됩니다. 이 취약점은 Vault Community Edition 2.0.0 및 Vault Enterprise 2.0.0에서 수정되었습니다.
💡 쉬운 설명
누구나 인증 없이 Vault의 중요한 복구·키 관리 작업을 계속 시작하거나 취소해서 관리자가 작업을 끝내지 못하게 만들 수 있습니다. 보안 서비스 운영이 멈출 수 있으므로 버전을 업그레이드해야 합니다.
🇺🇸 원문 (English)
Vault is vulnerable to a denial-of-service condition where an unauthenticated attacker can repeatedly initiate or cancel root token generation or rekey operations, occupying the single in-progress operation slot. This prevents legitimate operators from completing these workflows. This vulnerability, CVE-2026-5807, is fixed in Vault Community Edition 2.0.0 and Vault Enterprise 2.0.0.
📍 영향받는 시스템
HashiCorp Vault Community Edition 및 Enterprise의 2.0.0 미만 버전
⚔️ 공격 벡터
네트워크로 접근 가능한 Vault 엔드포인트에 인증 없이 루트 토큰 생성 또는 리키 작업을 반복 요청하여 진행 슬롯을 점유
🛡️ 대응 방법
Vault Community Edition 또는 Enterprise를 2.0.0 이상으로 업그레이드하고, Vault 엔드포인트를 신뢰된 네트워크로만 제한
🔧 검증 코드
출력된 버전이 2.0.0 미만이면 취약하므로 업그레이드가 필요하고, 2.0.0 이상이면 수정된 버전입니다.
vault version 2>/dev/null | head -n 1