CVE-2025-54998
Açıklama
OpenBao; sırlar, sertifikalar ve anahtarlar dahil olmak üzere hassas verileri yönetmek, depolamak ve dağıtmak için bir yazılım çözümü sağlamak amacıyla mevcuttur. 0.1.0 ile 2.3.1 arasındaki sürümlerde saldırganlar, OpenBao Userpass veya LDAP kimlik doğrulama sistemlerindeki otomatik kullanıcı kilitleme mekanizmalarını atlayabilirlerdi. Bu durum, ön uçuş (pre-flight) ve tam giriş isteği kullanıcı varlığı takma ad öznitelikleri arasındaki farklı takma adlandırmadan kaynaklanmaktaydı. Bu sorun 2.3.2 sürümünde düzeltilmiştir. Bu sorunu gidermek için mevcut kullanıcılar, kimlik doğrulama uç noktalarına hız sınırlama kotaları uygulayabilirler: bkz. https://openbao.org/api-docs/system/rate-limit-quotas/.
Nasıl düzeltilir
- openbao openbao2.3.2 ya da sonraki bir sürüm
- github.com/openbao/openbao2.3.2, 0.0.0-20250807212521-c52795c1ef74 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openbao openbao | v < 2.3.2 | 2.3.2 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v < 2.3.2, v < 0.0.0-20250807212521-c52795c1ef74, 0.1.0 ≤ v | 2.3.2, 0.0.0-20250807212521-c52795c1ef74 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.