CVE-2025-62513
Təsvir
OpenBao açıq mənbəli şəxsiyyət əsaslı gizli məlumatların idarəetmə sistemidir. 2.2.0 və 2.4.1 versiyalarında OpenBao-nun audit loqunda bəzi son nöqtələr (endpoints) tərəfindən istifadə edilən xam HTTP gövdələrinin düzgün şəkildə gizlədilmədiyi (HMAC edilmədiyi) bir reqressiya baş vermişdir. Bu, PKI-ın ACME funksionallığından istifadə edənlərə təsir edir və nəticədə qısa müddətli ACME verifikasiya çağırış kodlarının audit loqlarında sızmasına səbəb olur. Əlavə olaraq, bu, kimlik alt sisteminin OIDC emitent funksionallığını istifadə edənlərə təsir edir; autentifikasiya və token cavab kodları ilə yanaşı, iddialar (claims) də audit loqlarında sızdırıla bilər. ACME verifikasiya kodları verifikasiyadan sonra və ya çağırışın vaxtı bitdikdən sonra istifadə edilə bilmir, buna görə də uzunmüddətli istifadəsi məhduddur. Bu problem OpenBao 2.4.2 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- openbao openbao2.4.2 və ya daha yeni versiya
- github.com/openbao/openbao0.0.0-20251022165510-cc2c476bac66 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| openbao openbao | 2.2.0 ≤ v < 2.4.2 | 2.4.2 |
| github.com/openbao/openbaoGo | 0.0.0-20241114205727-b1235e585db7 ≤ v < 0.0.0-20251022165510-cc2c476bac66 | 0.0.0-20251022165510-cc2c476bac66 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.