Hashicorp

Recentemente, HashiCorp, Veeam e a Django Software Foundation corrigiram 11 vulnerabilidades em suas plataformas, incluindo o Terraform MCP Server, o Veeam Service Provider Console e o Django. Entre as falhas mais graves, destaca-se uma vulnerabilidade no console da Veeam que permite a um atacante não autenticado obter credenciais de um agente gerenciado, com uma pontuação CVSS de 9.5. Outra falha crítica, com pontuação máxima de 10.0, foi identificada no servidor MCP da HashiCorp, permitindo que um token de um usuário fosse reutilizado em requisições de outros usuários. Além disso, uma vulnerabilidade no GeoDjango pode permitir a execução de código remoto em determinadas configurações. As correções já estão disponíveis, e os operadores devem atualizar suas versões para evitar possíveis explorações. Embora as falhas não estejam sendo ativamente exploradas, a configuração das exposições varia, e a atualização é altamente recomendada para mitigar riscos. As versões afetadas incluem o Veeam 9.2.1.33875 e anteriores, o Terraform MCP Server antes da versão 1.1.0 e o Django antes das versões 6.0.8 e 5.2.17.

A HashiCorp revelou uma vulnerabilidade crítica no Vault e no Vault Enterprise, que permite a atacantes contornar a autenticação e realizar ataques de negação de serviço (DoS). Identificada como CVE-2025-12044, essa falha resulta de um erro na ordem de operações durante a correção de uma vulnerabilidade anterior, permitindo que a limitação de taxa ocorra após o processamento de payloads JSON. Isso significa que um atacante pode enviar repetidamente payloads JSON maliciosos, consumindo recursos do sistema sem necessidade de autenticação. O impacto pode ser severo, levando à degradação do desempenho ou até mesmo à queda total do serviço, tornando segredos inacessíveis para aplicações legítimas. A vulnerabilidade afeta versões do Vault Community Edition de 1.20.3 a 1.20.4 e do Vault Enterprise em várias versões, exigindo atualizações urgentes para versões corrigidas. A HashiCorp recomenda que as organizações avaliem sua exposição e realizem as atualizações necessárias para evitar incidentes de DoS. A descoberta foi feita por Toni Tauro da Adfinis AG, que coordenou a divulgação responsável da falha.

A HashiCorp divulgou uma vulnerabilidade crítica no Vault, identificada como CVE-2025-6203, que afeta as edições Community e Enterprise entre as versões 1.15.0 e 1.20.2. Essa falha permite que atacantes criem payloads JSON complexos que, embora respeitem o limite de tamanho de requisição padrão (32 MiB), podem causar alocação excessiva de memória e alto consumo de CPU, resultando em negação de serviço (DoS) ao deixar o servidor inoperante. A vulnerabilidade foi detalhada no boletim de segurança HCSEC-2025-24, publicado em 28 de agosto de 2025. Para mitigar os riscos, a HashiCorp recomenda que as organizações atualizem para as versões 1.20.3, 1.19.9, 1.18.14 ou 1.16.25, onde a falha foi corrigida. Além disso, novas configurações de listener podem ser aplicadas para limitar a complexidade dos payloads JSON, como profundidade máxima de JSON e tamanho máximo de strings. As empresas são incentivadas a migrar para o novo HCP Vagrant Registry, que oferece uma solução gerenciada para armazenamento e distribuição de artefatos Vagrant, garantindo maior resiliência operacional e segurança da infraestrutura.