CVE-2026-105626
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 37 - wyżej niż 37% wszystkich znanych CVE
Streszczenie
HashiCorp Consul i Consul Enterprise są podatne na atak typu denial of service w API HTTP. Nieuwierzytelniony atakujący może wyczerpać pamięć agenta Consul.
Ocena ryzyka
Może to doprowadzić do niedostępności agenta Consul i zakłócenia działania klastra.
Rekomendacja
Zaktualizuj do Consul Community Edition 2.1.0 lub Consul Enterprise 2.1.0/1.21.19.
Inne podatności w HashiCorp Consul
Zobacz wszystkie- CVE-2026-115804Średnie
HashiCorp Consul i Consul Enterprise są podatne na obejście autoryzacji przy rejestracji kontroli stanu, co może pozwolić uwierzytelnionemu użytkownikowi na modyfikację kontroli stanu należących do innej usługi na tym samym węźle. Podatność została naprawiona w Consul Community Edition 2.1.0 oraz Consul Enterprise 2.1.0 i 1.21.19.
- CVE-2026-105765Wysokie
HashiCorp Consul i Consul Enterprise w wersjach od 1.17.0 do 2.0.4 są podatne na obejście autoryzacji w API certyfikatów liści service mesh agenta. Atakujący bez ważnego tokenu ACL może pobrać buforowany certyfikat liścia usługi wraz z kluczem prywatnym.
- CVE-2026-105608Wysokie
HashiCorp Consul i Consul Enterprise są podatne na obejście autoryzacji przy rejestracji proxy service mesh. Użytkownik z uprawnieniem zapisu usługi może zastosować konfigurację Envoy escape-hatch bez wymaganego uprawnienia zapisu mesh.
Oryginalny opis (angielski, źródło NVD)
HashiCorp Consul and Consul Enterprise are vulnerable to a denial of service in the HTTP API that may allow an unauthenticated attacker to exhaust memory on a Consul agent. This vulnerability (CVE-2026-105626) is fixed in Consul Community Edition 2.1.0 and Consul Enterprise 2.1.0 and 1.21.19.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS