CVE-2021-37219: HashiCorp Consul and Consul Enterprise 1.10.1 Raft RPC layer allows non-server agents with a valid certificate signed by the same CA to acce

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• hashicorp consulдо 1.8.15
• hashicorp consul1.9.0 и новее · до 1.9.9
• hashicorp consul1.10.0 и новее · до 1.10.2

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-41805HashiCorp Consul Enterprise before 1.8.17, 1.9.x before 1.9.11, and 1.10.x before 1.10.4 has Incorrect Access Control.
  45В плане
• CVE-2026-105608Consul vulnerable to an authorization bypass in service mesh registration
  35Наблюдать
• CVE-2026-87090Consul vulnerable to an authorization bypass in the catalog node-write path
  33Наблюдать

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2021-3257417 июл. 2021 г. · HashiCorp Consul and Consul Enterprise 1.3.0 through 1.10.0 Envoy proxy TLS configuration does not validate destination service identity in
  30Наблюдать
• ← РаньшеCVE-2021-3621317 июл. 2021 г. · HashiCorp Consul and Consul Enterprise 1.9.0 through 1.10.0 default deny policy with a single L7 application-aware intention deny action can
  31Наблюдать
• Позже →CVE-2021-386987 сент. 2021 г. · HashiCorp Consul and Consul Enterprise 1.10.1 Txn.Apply endpoint allowed services to register proxies for other services, enabling access to
  26Наблюдать

Первопричина

Ошибка проверки сертификата незаметно подавляется вместо разрыва соединения. Часто это код, добавленный для тестовой среды и попавший в продуктивную.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1override fun checkServerTrusted(chain: Array<X509Certificate>, type: String) {2  // Оставлено пустым для тестовой среды3}

1val client = OkHttpClient.Builder()2  .certificatePinner(3    CertificatePinner.Builder()4      .add("api.sirius.example", "sha256/…")5      .build()6  ).build()

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.