CVE-2025-54997
Təsvir
OpenBao gizli məlumatların, sertifikatların və açarların idarə edilməsi, saxlanılması və paylanması üçün proqram təminatı həlli təqdim etmək məqsədilə mövcuddur. 2.3.1 və daha aşağı versiyalarda bəzi OpenBao tətbiqləri imtiyazlı API operatorlarının sistem kodunu icra etməsini və ya şəbəkə bağlantıları qurmasını qəsdən məhdudlaşdırır. Lakin bu operatorlar loq prefikslərini manipulyasiya edərək audit alt sistemi vasitəsilə hər iki məhdudiyyətdən yan keçə bilərlər. Bu, nəzərdə tutulmuş təhlükəsizlik modelini pozan icazəsiz kodun icrasına və şəbəkəyə girişə imkan verir. Bu problem 2.3.2 versiyasında düzəldilmişdir. Müvəqqəti həll yolu kimi istifadəçilər aşkar qadağanetmə siyasətlərindən istifadə edərək sys/audit/* son nöqtələrinə girişi bloklaya bilərlər, lakin root operatorlarını bu şəkildə məhdudlaşdırmaq mümkün deyil.
Necə düzəltmək olar
- openbao openbao2.3.2 və ya daha yeni versiya
- github.com/openbao/openbao2.3.2, 0.0.0-20250806194004-a14053c9679d və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openbao openbao | v < 2.3.2 | 2.3.2 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v < 2.3.2, v < 0.0.0-20250806194004-a14053c9679d, 0.1.0 ≤ v | 2.3.2, 0.0.0-20250806194004-a14053c9679d |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.