Le client Java vault-java-driver désactive la vérification des certificats TLS et des noms d’hôte dans certains cas où elle a été demandée, ce qui peut permettre à un attaquant situé sur le réseau d’intercepter le jeton Vault et les secrets, ou de falsifier les réponses. Les versions 5.2.0 à 6.2.3 sont affectées ; mettre à niveau vers 7.0.0.
Source : NVD — CVE-2026-109408
Analyse technique
Le défaut concerne notamment une configuration SslConfig non construite, une configuration restaurée par désérialisation et une valeur VAULT_SSL_VERIFY vraie autre que « true ». Dans ces cas, le pilote peut installer un contexte SSL qui fait confiance à tous les certificats.
Impact, versions et correctif
Action recommandée
Mettre à niveau vault-java-driver vers la version 7.0.0 et vérifier la configuration TLS du pilote.
Sources
Priorisation DFS : P3 · 1 source(s).