CVE-2025-52894
Açıklama
OpenBao; sırlar, sertifikalar ve anahtarlar dahil olmak üzere hassas verileri yönetmek, depolamak ve dağıtmak için bir yazılım çözümü sağlamak amacıyla mevcuttur. v2.3.0 öncesindeki OpenBao, bir saldırganın kimlik doğrulaması yapılmamış ve denetlenmemiş şekilde root rekey ve recovery rekey işlemlerini iptal etmesine izin vererek hizmet reddine yol açmaktaydı. OpenBao v2.2.0 ve sonraki sürümlerde, `disable_unauthed_rekey_endpoints=true` yapılandırma seçeneğinin manuel olarak ayarlanması, bir operatörün nadiren kullanılan bu uç noktaları global dinleyiciler üzerinde engellemesine olanak tanır. fe75468822a22a88318c6079425357a02ae5b77b commit'inde bir yama mevcuttur. OpenBao'nun web sitesinde duyurulacak gelecekteki bir OpenBao sürümünde, yöneticiler bu ayarı tüm kullanıcılar için `true` olarak ayarlayacak ve kimlik doğrulamalı bir alternatif sunacaktır. Geçici bir çözüm olarak, eğer OpenBao'nun önünde aktif bir proxy veya yük dengeleyici bulunuyorsa, bir operatör yetkisiz IP aralıklarından bu uç noktalara gelen istekleri engelleyebilir.
Nasıl düzeltilir
- openbao openbao2.3.0 ya da sonraki bir sürüm
- github.com/openbao/openbao0.0.0-20250625150133-fe75468822a2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openbao openbao | 2.2.0 ≤ v < 2.3.0 | 2.3.0 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v, v < 0.0.0-20250625150133-fe75468822a2, Aralık belirtilmemiş | 0.0.0-20250625150133-fe75468822a2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.