CVE-2025-54996
Açıklama
OpenBao; sırlar, sertifikalar ve anahtarlar dahil olmak üzere hassas verileri yönetmek, depolamak ve dağıtmak için bir yazılım çözümü sağlamak amacıyla mevcuttur. 2.3.1 ve altı sürümlerde, root namespace'lerde yüksek ayrıcalıklı kimlik varlığı sistemlerine erişimi olan hesaplar, kapsamlarını doğrudan root politikasına genişletebilmekteydi. Kimlik sistemi rastgele politikaların eklenmesine izin verirken ve bu politikalar rastgele yollar üzerinde yetenek grant'ları içerebilirken, root politikası yalnızca unseal veya kurtarma anahtar payları kullanılarak manuel oluşturma ile sınırlandırılmıştı. Global root politikasına alt namespace'lerden erişilemiyordu. Bu sorun 2.3.2 sürümünde düzeltilmiştir. Bu güvenlik açmasını gidermek için geçici bir çözüm olarak, etkilenen kimlik uç noktalarına (kimlik varlıkları üzerinde) erişimi olan herhangi bir politikada denied_parameters kullanımı, bu tür bir saldırıyı engellemek için yeterli olabilir.
Nasıl düzeltilir
- openbao openbao2.3.2 ya da sonraki bir sürüm
- github.com/openbao/openbao2.3.2, 0.0.0-20250806193240-9b0b5d4f345f ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openbao openbao | v < 2.3.2 | 2.3.2 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v < 2.3.2, v < 0.0.0-20250806193240-9b0b5d4f345f, 0.1.0 ≤ v | 2.3.2, 0.0.0-20250806193240-9b0b5d4f345f |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.