Une nouvelle vulnérabilité du fournisseur Terraform de HashiCorp pour Vault pourrait permettre aux attaquants de s’authentifier sans identifiants, exposant ainsi des secrets sensibles et des données d’infrastructure.
La faille provient d’une configuration par défaut incorrecte dans les paramètres d’authentification LDAP du fournisseur.
« Si le serveur LDAP sous-jacent autorisait les liaisons anonymes ou non authentifiées, cela pourrait entraîner un contournement de l’authentification », a déclaré HashiCorp dans son avis.
Comprendre la faille de mauvaise configuration de Vault avec LDAP
La vulnérabilité (CVE-2025-13357) trouve son origine dans un comportement par défaut incorrect du fournisseur Terraform de Vault concernant le paramètre deny_null_bind pour l’authentification LDAP.
Dans les versions concernées, le paramètre était défini par défaut sur false lorsqu’il n’était pas explicitement renseigné dans une configuration Terraform.
Dans les environnements où le serveur LDAP sous-jacent autorisait les liaisons anonymes ou nulles, cela créait une situation silencieuse et dangereuse dans laquelle Vault considérait un mot de passe vide comme une tentative d’authentification valide.
Lorsque le fournisseur Terraform créait ou mettait à jour un backend d’authentification LDAP avec le paramètre par défaut, Vault acceptait les connexions LDAP non authentifiées, permettant aux attaquants de s’authentifier sans fournir d’identifiants.
Cette mauvaise configuration s’étendait à tous les environnements gérés au moyen de l’infrastructure as code (IaC), ce qui signifie que plusieurs clusters ou espaces de noms Vault pouvaient hériter à leur insu de ce paramètre non sécurisé.
HashiCorp a confirmé que la faille touche les versions 4.2.0 à 5.4.0 du fournisseur Terraform, ainsi que les versions de Vault qui acceptaient encore les mots de passe vides avant la correction.
Même si aucun cas d’exploitation active n’a été confirmé, une preuve de concept serait facile à réaliser dans les environnements qui autorisent les liaisons LDAP anonymes.
Sécuriser vos déploiements Vault
Vault servant de dépôt central pour les secrets et le matériel de chiffrement, corriger cette vulnérabilité est essentiel pour empêcher les accès non autorisés et les compromissions en cascade.
- Mettez à niveau vers les dernières versions de Vault et du fournisseur Terraform.
- Définissez explicitement deny_null_bind = true dans toutes les configurations d’authentification LDAP afin d’empêcher les liaisons non authentifiées ou anonymes dans tous les environnements.
- Désactivez les liaisons anonymes directement sur le serveur LDAP afin d’empêcher le service d’annuaire d’accepter les tentatives d’authentification avec un mot de passe nul ou vide.
- Restreignez et segmentez l’accès réseau aux points de terminaison d’authentification LDAP de Vault à l’aide de règles de pare-feu, d’ACL et de contrôles de connectivité fondés sur le principe du moindre privilège.
- Auditez et renforcez les backends d’authentification LDAP et les politiques Vault afin de vérifier qu’aucun paramètre par défaut non sécurisé ne subsiste et de limiter les autorisations associées aux connexions basées sur LDAP.
- Surveillez les activités d’authentification suspectes telles que les tentatives avec un mot de passe vide, la création inattendue de jetons ou des schémas de connexion inhabituels à Vault.
- Renforcez la sécurité opérationnelle autour de Vault en faisant tourner les identifiants et les jetons, en imposant l’authentification multifacteur aux rôles à privilèges élevés, en vérifiant l’absence de dérive dans l’état Terraform et en verrouillant les versions du fournisseur.
Corriger la faille nécessite de combiner mises à jour logicielles, changements de configuration et pratiques opérationnelles renforcées afin de garantir une authentification sécurisée.
Pourquoi les couches de secrets et d’identité sont des cibles privilégiées
Cet incident montre comment une mauvaise configuration apparemment mineure dans un outil d’infrastructure as code peut dégénérer en grave défaillance d’authentification touchant des organisations entières.
Alors que les entreprises continuent d’automatiser les workflows de sécurité et d’identité, la fiabilité des paramètres par défaut d’outils tels que les fournisseurs Terraform devient essentielle.
La vulnérabilité de Vault illustre également une tendance plus générale : les adversaires ciblent de plus en plus les couches d’identité et de secrets des environnements cloud, où une seule mauvaise configuration peut leur accorder un accès étendu et hautement privilégié.
Cette pression croissante sur les infrastructures d’identité rend les principes du Zero Trust essentiels pour réduire l’impact des mauvaises configurations.