HashiCorp、Consulの認証情報漏えい脆弱性を修正
CVE-2026-105765はCVSS 3.1で7.5。ACLトークンなしでもサービス証明書と秘密鍵が取得可能とされる。
HashiCorpは2026年10月26日、ConsulおよびConsul Enterpriseに存在する脆弱性CVE-2026-105765に関するセキュリティアドバイザリHCSEC-2026-46を公開した。dailysecu.comが伝えている。CVSS 3.1スコアは7.5と評価されている。
問題は、暗号化されたサービス間通信のための証明書を発行する機能にある。アクセス権限の確認が適切に行われず、特定の条件下では有効なACLトークンを持たない攻撃者が、サーバー上に保存されたサービス証明書と秘密鍵を取得できる可能性があるという。
影響を受けるのはConsulおよびConsul Enterpriseの1.17.0から2.0.4までのバージョン。
HashiCorpは修正版としてConsul コミ・カレ!! 2.1.0、Consul Enterprise 2.1.0および1.21.19を公開した。該当バージョンを使用する管理者はアップデートが求められる。
よくある質問
影響を受けるConsulのバージョンは？
ConsulおよびConsul Enterpriseの1.17.0から2.0.4までが影響を受けます。
修正版はどれですか？
Consul コミ・カレ!! 2.1.0、Consul Enterprise 2.1.0および1.21.19が公開されています。
脆弱性の深刻度は？
CVSS 3.1スコアで7.5と評価されています。