CVE-2021-43837

vault-cli, Hashicorp Vault ile etkileşim kurmak için yapılandırılabilir bir komut satırı arayüzü aracıdır (ve python kütüphanesidir). 3.0.0 öncesindeki sürümlerde vault-cli, şablonlanmış değerleri işleme yeteneğine sahiptir. Bir sır `!template!` ön ekiyle başladığında, vault-cli sırrın geri kalan içeriğini bir Jinja2 şablonu olarak yorumlar. Jinja2 güçlü bir şablonlama motorudur ve rastgele şablonları güvenli bir şekilde işlemek üzere tasarlanmamıştır. Bir makinede işlenen jinja2 şablonunu kontrol eden bir saldırgan, rastgele kod tetikleyebilir ve bu durum bir uzaktan kod çalıştırma (RCE) riski oluşturur. Eğer vault içeriğine tamamen güvenilebiliyorsa, bu bir sorun teşkil etmez. Aksi takdirde, tehdit modeliniz bir saldırganın vault-cli kullanarak vault'tan okunan bir sır değerini manipüle edebildiği durumları içeriyorsa, bu güvenlik açığı sizi etkileyebilir. 3.0.0 sürümünde, vault şablonlu sırlarını yorumlamayla ilgili kod tamamen kaldırılmıştır. Kullanıcıların mümkün olan en kısa sürede yükseltme yapmaları önerilir. Yükseltme yapamayan kullanıcılar için geçici bir çözüm mevcuttur. `VAULT_CLI_RENDER=false` ortam değişkenini veya `--no-render` bayrağını (`vault-cli` ile alt komut arasına yerleştirilerek, örn. `vault-cli --no-render get-all`) kullanmak veya vault-cli yapılandırma yaml dosyasına `render: false` eklemek, işlemeyi devre dışı bırakır ve güvenlik açığını giderir. Python kütüphanesi kullanılırken, şablonlanmış sırları işlemeyecek ve böylece güvenli çalışacak bir istemci elde etmek için istemcinizi oluştururken `vault_cli.get_client(render=False)` kullanabilirsiniz.