CVE-2025-54996
Təsvir
OpenBao gizli məlumatların, sertifikatların və açarların idarə edilməsi, saxlanılması və paylanması üçün proqram təminatı həlli təqdim etmək məqsədilə mövcuddur. 2.3.1 və daha aşağı versiyalarda, kök (root) ad sahələrindəki yüksək imtiyazlı identifikasiya entity sistemlərinə giriş imkanı olan hesablar öz əhatə dairələrini birbaşa kök siyasətə (root policy) qədər genişləndirə bilirdilər. Identifikasiya sistemi ixtiyari siyasətlərin əlavə edilməsinə icazə verdiyi halda və bu siyasətlər ixtiyari yollarda səlahiyyət verilmələrini ehtiva edə bildiyi halda, kök siyasətin yaradılması yalnız unseal və ya bərpa açarı hissələri vasitəsilə əllə generasiya ilə məhdudlaşdırılmışdı. Qlobal kök siyasəti alt ad sahələrindən əlçatan deyildi. Bu problem 2.3.2 versiyasında düzəldilmişdir. Bu zəifliyə qarşı müvəqqəti həll kimi, təsirlənmiş identifikasiya son nöqtələrinə (identity entities üzrə) girişi olan hər hansı siyasətdə denied_parameters istifadəsi bu növ hücumun qarşısını almaq üçün kifayət edə bilər.
Necə düzəltmək olar
- openbao openbao2.3.2 və ya daha yeni versiya
- github.com/openbao/openbao2.3.2, 0.0.0-20250806193240-9b0b5d4f345f və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openbao openbao | v < 2.3.2 | 2.3.2 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v < 2.3.2, v < 0.0.0-20250806193240-9b0b5d4f345f, 0.1.0 ≤ v | 2.3.2, 0.0.0-20250806193240-9b0b5d4f345f |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.