CVSS: 7.5EPSS: 0%CPEs: 4EXPL: 0CVE-2021-36213
https://notcve.org/view.php?id=CVE-2021-36213
HashiCorp Consul and Consul Enterprise 1.9.0 through 1.10.0 default deny policy with a single L7 application-aware intention deny action cancels out, causing the intention to incorrectly fail open, allowing L4 traffic. Fixed in 1.9.8 and 1.10.1. La política de denegación por defecto de HashiCorp Consul y Consul Enterprise desde la versión 1.9.0 hasta la version 1.10.0 con una única acción de denegación de intención consciente de la aplicación L7 se anula, lo que provoca que la intención falle incorrectamente al abrirse, permitiendo el tráfico L4. Corregido en las versiones 1.9.8 y 1.10.1. • https://discuss.hashicorp.com/t/hcsec-2021-16-consul-s-application-aware-intentions-deny-action-fails-open-when-combined-with-default-deny-policy/26855 https://github.com/hashicorp/consul/releases/tag/v1.10.1 https://security.gentoo.org/glsa/202208-09 https://www.hashicorp.com/blog/category/consul •
CVSS: 7.5EPSS: 0%CPEs: 6EXPL: 0CVE-2021-32574
https://notcve.org/view.php?id=CVE-2021-32574
HashiCorp Consul and Consul Enterprise 1.3.0 through 1.10.0 Envoy proxy TLS configuration does not validate destination service identity in the encoded subject alternative name. Fixed in 1.8.14, 1.9.8, and 1.10.1. HashiCorp Consul y Consul Enterprise versión 1.3.0 hasta la versión 1.10.0 La configuración del proxy TLS de Envoy no valida la identidad del servicio de destino en el nombre alternativo del asunto codificado. Corregido en las versiones 1.8.14, 1.9.8 y 1.10.1 • https://discuss.hashicorp.com/t/hcsec-2021-17-consul-s-envoy-tls-configuration-did-not-validate-destination-service-subject-alternative-names/26856 https://github.com/hashicorp/consul/releases/tag/v1.10.1 https://security.gentoo.org/glsa/202208-09 https://www.hashicorp.com/blog/category/consul • CWE-295: Improper Certificate Validation •
CVSS: 6.5EPSS: 0%CPEs: 2EXPL: 0CVE-2021-32575
https://notcve.org/view.php?id=CVE-2021-32575
HashiCorp Nomad and Nomad Enterprise up to version 1.0.4 bridge networking mode allows ARP spoofing from other bridged tasks on the same node. Fixed in 0.12.12, 1.0.5, and 1.1.0 RC1. HashiCorp Nomad y Nomad Enterprise versiones hasta 1.0.4, el modo de red bridge permite la suplantación de ARP desde otras tareas de bridged en el mismo nodo. Corregido en versiones 0.12.12, 1.0.5 y 1.1.0 RC1 • https://discuss.hashicorp.com/t/hcsec-2021-14-nomad-bridge-networking-mode-allows-arp-spoofing-from-other-bridged-tasks-on-same-node/24296 https://www.hashicorp.com/blog/category/nomad •
CVSS: 7.4EPSS: 0%CPEs: 6EXPL: 0CVE-2021-32923
https://notcve.org/view.php?id=CVE-2021-32923
HashiCorp Vault and Vault Enterprise allowed the renewal of nearly-expired token leases and dynamic secret leases (specifically, those within 1 second of their maximum TTL), which caused them to be incorrectly treated as non-expiring during subsequent use. Fixed in 1.5.9, 1.6.5, and 1.7.2. HashiCorp Vault y Vault Enterprise permitían la renovación de los contratos de alquiler de tokens casi caducados y de los contratos de alquiler de secretos dinámicos (concretamente, los que estaban a menos de 1 segundo de su TTL máximo), lo que causó que sean incorrectamente tratados como no caducados durante su uso posterior. Corregido en versiones 1.5.9, 1.6.5 y 1.7.2 • https://discuss.hashicorp.com/t/hcsec-2021-15-vault-renewed-nearly-expired-leases-with-incorrect-non-expiring-ttls/24603 https://security.gentoo.org/glsa/202207-01 https://www.hashicorp.com/blog/category/vault • CWE-613: Insufficient Session Expiration •
CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 1CVE-2021-32074
https://notcve.org/view.php?id=CVE-2021-32074
HashiCorp vault-action (aka Vault GitHub Action) before 2.2.0 allows attackers to obtain sensitive information from log files because a multi-line secret was not correctly registered with GitHub Actions for log masking. HashiCorp vault-action (también se conoce como Vault GitHub Action) versiones anteriores a 2.2.0, permite a atacantes conseguir información confidencial de archivos de registro porque un secreto de múltiples líneas no fue registrado correctamente con GitHub Actions para el enmascaramiento de registros • https://discuss.hashicorp.com/t/hcsec-2021-13-vault-github-action-did-not-correctly-mask-multi-line-secrets-in-output/24128 https://github.com/hashicorp/vault-action/blob/master/CHANGELOG.md https://github.com/hashicorp/vault-action/issues/205 https://github.com/hashicorp/vault-action/pull/208 • CWE-532: Insertion of Sensitive Information into Log File •