CVE-2026-105765 expone claves de servicios en HashiCorp Consul
Un fallo de autorización puede devolver certificados leaf y claves privadas ya cacheadas por agentes Consul si la API HTTP es alcanzable. HashiCorp publicó versiones corregidas y mitigaciones de red.
HashiCorp publicó el 26 de octubre un aviso para CVE-2026-105765, un fallo de autorización en la API de certificados de Consul. El riesgo no consiste en romper TLS ni en saltarse por completo el control de acceso de la malla: aparece cuando el agente ya tiene en caché un certificado leaf de servicio y devuelve también su clave privada sin volver a validar el token ACL. Para llegar a esa API, quien ataque necesita conectividad con el agente; el aviso no afirma que la vulnerabilidad se esté explotando activamente.
La caché cambia el control
Consul emite a cada servicio un certificado de corta vida que identifica su identidad dentro del service mesh. Los proxies sidecar y las aplicaciones Connect-native lo usan para establecer mTLS, autenticación mutua cifrada entre servicios. El agente puede conservar certificados emitidos para reducir consultas a los servidores de Consul; esa optimización es justamente la ruta en la que aparece el error.
-InfraCrew dice: la caché ahorra trabajo hasta que el camino rápido se olvida de comprobar quién está preguntando.-
La API del agente debía exigir el permiso service:write al emitir un certificado nuevo. Según HashiCorp, la comprobación faltaba en el camino de lectura de un certificado ya almacenado: si el atacante alcanzaba el endpoint y el certificado estaba en caché, podía obtener el certificado y su clave privada sin un token ACL válido. No se describe una emisión arbitraria de certificados ni un acceso directo a todo el plano de control.
Esa clave permite suplantar al servicio cuya identidad contiene el certificado, con el alcance que concedan las políticas de la malla. En particular, las intentions de Consul determinan qué identidades pueden comunicarse; la vulnerabilidad no convierte por sí sola una intención restrictiva en una regla abierta, aunque sí pone la credencial legítima del servicio en manos ajenas. La exposición también depende de qué servicios tenga en caché el agente alcanzable.
Versiones y condiciones que importan
El aviso afecta a Consul y Consul Enterprise desde 1.17.0 hasta 2.0.4, con ambos extremos incluidos según la formulación del proveedor. Las correcciones están en Consul Community Edition 2.1.0 y en Enterprise 2.1.0 o 1.21.19. El tracker de Ubuntu asigna CVSS 7.5, alto, pero esa puntuación no demuestra explotación ni sustituye el análisis de exposición local: el propio resumen de Ubuntu describe el mismo requisito de acceso a la API.
-InfraCrew dice: una puntuación viaja rápido por los informes; la ruta hasta el socket del agente suele contar más en la guardia.-
La condición de ACL también importa: HashiCorp limita el impacto a despliegues que tengan las ACL habilitadas. Además, la configuración por defecto hace que la API HTTP del agente escuche en loopback, lo que reduce el acceso a procesos del mismo host. Es una barrera útil, no una razón para omitir el inventario: instalaciones con una escucha ampliada, redes de gestión compartidas o reglas de firewall permisivas merecen revisión prioritaria.
Qué revisar en el entorno
Primero identifica las versiones y ediciones desplegadas, confirma si ACL está activa y comprueba en qué interfaces y redes se expone la API de cada agente. Evalúa también qué servicios administra o cachea cada nodo, sobre todo en despliegues de Consul Dataplane, donde los servidores que gestionan proxies pueden almacenar certificados de más servicios. La pregunta operativa no es solo «¿tenemos una versión afectada?», sino «¿quién puede alcanzar esa API y qué identidades quedarían expuestas?».
La recomendación principal es actualizar a una versión corregida siguiendo el procedimiento soportado para la edición instalada. Si el cambio no es inmediato, HashiCorp aconseja restringir el acceso de red a la API HTTP del agente. Como medida más específica, se puede bloquear el endpoint de certificados mediante http_config.block_endpoints, pero solo después de verificar que ese agente no lo necesita para aplicaciones Connect-native ni para configuraciones de consul-template.
-InfraCrew dice: cerrar una ruta de API es sencillo; descubrir qué plantilla la consume antes del cambio es lo que evita una guardia más larga.-
El CVE merece una comprobación concreta y rápida en entornos Consul, en especial donde la API de agente sea alcanzable fuera del host. El advisory disponible no atribuye ataques observados ni una explotación generalizada, así que conviene comunicar el riesgo con esa precisión: exposición de claves de identidades de servicio bajo condiciones específicas, con una corrección de versión publicada y mitigaciones de red mientras llega la actualización.
Diccionario de la Crew
ACL — Lista de control de acceso que decide qué acciones puede realizar un token en Consul.
Service mesh — Capa que conecta servicios y aplica identidad, cifrado y políticas de comunicación.
mTLS — TLS mutuo: ambos extremos presentan certificados para autenticarse.
Certificado leaf — Certificado final asignado a una identidad de servicio, firmado por la autoridad de la malla.
Intentions — Reglas de Consul que permiten o deniegan comunicación entre identidades de servicios.
