¿Qué es esta vulnerabilidad?
Una falla en el proceso de unión de almacenamiento integrado de HashiCorp Vault y Vault Enterprise permite que un atacante no autenticado con acceso de red a un nodo nuevo y no inicializado haga que ese nodo envíe credenciales de su entorno servidor a un servidor controlado por el atacante.
Productos y versiones afectadas
Las versiones vulnerables incluyen todas las anteriores a Vault Community Edition 2.2.2, Vault Enterprise 2.2.2, 1.21.14 y 1.19.25.
Impacto y explotación
La vulnerabilidad (CWE-918) tiene un CVSS de 5.9 y está asociada a la técnica MITRE ATT&CK T1190 – Exploit Public-Facing Application. INCIBE-CERT la clasifica con severidad P. Actualmente Shodan reporta 0 hosts expuestos en internet con esta vulnerabilidad detectada.
¿Qué hacer?
Actualizar inmediatamente a las versiones corregidas: Vault Community Edition 2.2.2 o Vault Enterprise 2.2.2, 1.21.14, 1.19.25.
| CVE | CVE-2026-92735 |
|---|---|
| Severidad | MEDIUM |
| CVSS | 5.9 / 10 |
| CWE | CWE-918 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.