HashiCorp Vault 漏洞允许攻击者无需凭证登录
HashiCorp Vault 的一个新漏洞可能让攻击者完全绕过 LDAP 身份验证。
漏洞详情
HashiCorp Vault Terraform Provider 中存在一个新的漏洞，可能允许攻击者在无需凭证的情况下进行身份验证，从而暴露敏感的秘密和基础设施数据。
该漏洞源于提供商 LDAP 身份验证设置中的默认配置错误。
HashiCorp 在其公告中表示：“如果底层的 LDAP 服务器允许匿名或未经身份验证的绑定，这可能导致身份验证被绕过。”
深入探究 Vault LDAP 配置错误漏洞
该漏洞（CVE-2025-13357）源于 Vault Terraform Provider 在处理 LDAP 身份验证的 deny_null_bind 参数时，其默认行为不正确。
在受影响的版本中，当该参数未在 Terraform 配置中明确设置时，默认值为 false。
在底层 LDAP 服务器允许匿名或空绑定的环境中，这会创建一个静默且危险的条件，即 Vault 将空密码视为有效的身份验证尝试。
当 Terraform Provider 使用默认参数创建或更新 LDAP 认证后端时，Vault 会接受未经身份验证的 LDAP 连接，从而使攻击者能够在无需提供凭证的情况下进行身份验证。
此错误配置会扩展到通过基础设施即代码（IaC）管理的环境，这意味着多个 Vault 集群或命名空间可能会在不知情的情况下继承此不安全设置。
HashiCorp 确认该漏洞影响 Terraform Provider v4.2.0 至 v5.4.0，以及在修复之前仍接受空密码的 Vault 版本。
虽然没有已确认的主动利用案例，但在允许匿名 LDAP 绑定的环境中，制作概念验证将非常直接。
如何保护您的 Vault 部署
Vault 作为秘密和加密材料的中央存储库，修复此漏洞对于防止未经授权的访问和下游危害至关重要。
- 升级到 Vault 和 Terraform Provider 的最新版本。
- 在所有 LDAP 身份验证配置中显式设置
deny_null_bind = true，以防止在所有环境中进行未经身份验证或匿名的绑定。 - 在 LDAP 服务器本身禁用匿名绑定，以确保目录服务无法接受空或空密码的身份验证尝试。
- 使用防火墙规则、ACL 和最小权限连接控制，限制和分段对 Vault LDAP 身份验证端点的网络访问。
- 审计并强化 LDAP 认证后端和 Vault 策略，以验证不存在不安全的默认设置，并最小化与基于 LDAP 的登录相关联的权限。
- 监控可疑的身份验证活动，例如空密码尝试、意外的令牌创建或异常的 Vault 登录模式。
- 加强围绕 Vault 的操作安全，包括轮换凭据和令牌、对高权限角色强制执行 MFA、验证 Terraform 状态的漂移以及固定提供商版本。
解决此漏洞需要结合软件更新、配置更改和更强的操作实践，以确保安全的身份验证。
为何秘密和身份层成为首要目标
此事件表明，基础设施即代码工具中看似微小的配置错误，如何升级为影响整个组织的严重身份验证故障。
随着企业继续自动化安全和身份工作流程，Terraform Providers 等工具中默认设置的可靠性变得至关重要。
Vault 漏洞也反映了一个更广泛的趋势：对手越来越多地针对云环境的身份和秘密层，因为即使一个配置错误也可能授予广泛且高度特权的访问权限。
身份基础设施面临的这种日益增长的压力，使得零信任原则对于减少配置错误的影响变得至关重要。