CVSS: 7.5EPSS: 0%CPEs: 1EXPL: 0CVE-2019-12291
https://notcve.org/view.php?id=CVE-2019-12291
HashiCorp Consul 1.4.0 through 1.5.0 has Incorrect Access Control. Keys not matching a specific ACL rule used for prefix matching in a policy can be deleted by a token using that policy even with default deny settings configured. HashiCorp Consul 1.4.0 through 1.5.0 tiene accesos de control incorrectos, Las claves que no coinciden con una regla de ACL específica utilizada para la coincidencia de prefijos en una política se pueden eliminar con un token que usa esa política incluso con la configuración predeterminada de denegación configurada. • https://github.com/hashicorp/consul/issues/5888 •
CVSS: 7.4EPSS: 0%CPEs: 1EXPL: 1CVE-2019-9764
https://notcve.org/view.php?id=CVE-2019-9764
HashiCorp Consul 1.4.3 lacks server hostname verification for agent-to-agent TLS communication. In other words, the product behaves as if verify_server_hostname were set to false, even when it is actually set to true. This is fixed in 1.4.4. HashiCorp Consul 1.4.3 carece de la verificación de nombres de host para las comunicaciones TLS de agente a agente. En otras palabras, el producto se comporta como si verify_server_hostname estuviese configurado como "false", aunque en realidad lo esté como "true". • https://github.com/hashicorp/consul/issues/5519 • CWE-346: Origin Validation Error •
CVSS: 8.1EPSS: 0%CPEs: 2EXPL: 0CVE-2019-8336
https://notcve.org/view.php?id=CVE-2019-8336
HashiCorp Consul (and Consul Enterprise) 1.4.x before 1.4.3 allows a client to bypass intended access restrictions and obtain the privileges of one other arbitrary token within secondary datacenters, because a token with literally "<hidden>" as its secret is used in unusual circumstances. HashiCorp Consul (y Consul Enterprise), en versiones 1.4.x anteriores a la 1.4.3, permite que un cliente omita las restricciones de acceso planeadas y obtenga los privilegios de otro token arbitrario con centros de datos secundarios. Esto se debe a que un token con "<hidden>" como su secreto se emplea en circunstancias inusuales. • https://github.com/hashicorp/consul/issues/5423 •
CVSS: 5.9EPSS: 0%CPEs: 1EXPL: 0CVE-2018-19653
https://notcve.org/view.php?id=CVE-2018-19653
HashiCorp Consul 0.5.1 through 1.4.0 can use cleartext agent-to-agent RPC communication because the verify_outgoing setting is improperly documented. NOTE: the vendor has provided reconfiguration steps that do not require a software upgrade. HashiCorp Consul, de la versión 0.5.1 a la 1.4.0, puede emplear comunicaciones RPC de agente a agente en texto claro debido a que la opción verify_outgoing setting está mal documentada. NOTA: el fabricante ha proporcionado instrucciones de reconfiguración que no requieren actualizar el software. • https://github.com/hashicorp/consul/pull/5069 https://groups.google.com/forum/#%21topic/consul-tool/7TCw06oio0I • CWE-310: Cryptographic Issues •