HashiCorp corrige une faille d'accès dans Consul, versions corrigées publiées
La faille CVE-2026-105765, notée 7,5 sur l'échelle CVSS 3.1, touche Consul et Consul Enterprise de la version 1.17.0 à la 2.0.4.
HashiCorp a publié le 26 octobre 2026 l'avis de sécurité HCSEC-2026-46 consacré à CVE-2026-105765, une vulnérabilité affectant Consul et Consul Enterprise, selon dailysecu.com. La faille est notée 7,5 sur l'échelle CVSS 3.1.
Le défaut se situe dans la fonction qui délivre les certificats utilisés pour les communications chiffrées entre services. Cette fonction ne vérifie pas correctement les permissions d'accès, ce qui permet, dans certaines conditions, à un attaquant dépourvu de jeton ACL valide de récupérer des certificats de service et des clés privées stockés sur le serveur.
Les versions concernées vont de Consul 1.17.0 à 2.0.4, pour l'édition communautaire comme pour l'édition Enterprise.
Versions corrigées
HashiCorp indique avoir publié les versions corrigées suivantes : Consul Community 2.1.0, ainsi que Consul Enterprise 2.1.0 et 1.21.19. L'entreprise précise dans son avis que la vulnérabilité est liée à un contournement des contrôles d'accès.
Les administrateurs des installations concernées sont invités à passer à l'une de ces versions pour mettre fin à l'exposition des certificats et clés privés.
En bref
Quelles versions de Consul sont touchées par CVE-2026-105765 ?
Les versions 1.17.0 à 2.0.4 de Consul et de Consul Enterprise.
Quelles versions corrigent la faille ?
Consul Community 2.1.0, ainsi que Consul Enterprise 2.1.0 et 1.21.19.
Quel est le score CVSS de la vulnérabilité ?
7,5 sur l'échelle CVSS 3.1, selon l'avis HCSEC-2026-46 de HashiCorp.