vault-java-driver : épuisement de pile avec des réponses JSON profondément imbriquées

Veille sécuritéBackend & données

P4Moyenne

Le parseur JSON embarqué dans vault-java-driver ne limite pas la profondeur d’imbrication ; une réponse Vault profondément imbriquée peut provoquer une StackOverflowError et faire échouer les lectures ultérieures du chemin concerné via le pilote. Les versions 5.2.0 à 6.2.3 sont affectées dans le contexte de Vault 1.19.x ou antérieur ; le correctif est disponible dans vault-java-driver 7.0.0.

IdentifiantCVE-2026-112072

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif7.0.0

Source : NVD — CVE-2026-112072

Analyse technique

L’erreur StackOverflowError n’est pas interceptée par les gestionnaires catch (Exception) et tue le thread de lecture. Le scénario décrit nécessite un jeton Vault capable d’écrire, mais pas de lire, dans un chemin KV v2 ; Vault 1.20 et ultérieur rejette les valeurs dépassant 298 niveaux d’imbrication.

Impact, versions et correctif

Événement datéLa fiche indique une publication le 2026-11-05T08:17:03.663Z et une mise à jour le 2026-11-05T19:17:09.390Z, dans la période demandée ; le défaut et la version corrective sont des informations substantielles.

ImpactUne valeur JSON profondément imbriquée peut faire échouer les lectures ultérieures du chemin concerné via le pilote.

Versions affectéesio.github.jopenlibs:vault-java-driver 5.2.0 à 6.2.3 ; nécessite Vault 1.19.x ou antérieur

Version corrigée7.0.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.5

EPSS0,33% · percentile 25,9%

Publication2026-11-05T08:17:03.663Z

Mise à jour2026-11-05T19:17:09.390Z

Action recommandée

Mettre à niveau vault-java-driver vers la version 7.0.0 ; tenir compte de la condition liée aux versions de Vault indiquée dans l’avis.

Sources

NVD — CVE-2026-112072

Priorisation DFS : P4 · 1 source(s).