CVE-2025-55001
Açıklama
OpenBao; sırlar, sertifikalar ve anahtarlar dahil olmak üzere hassas verileri yönetmek, depolamak ve dağıtmak için bir yazılım çözümü sağlamak amacıyla mevcuttur. 2.3.1 ve altı sürümlerde OpenBao, temel kimlik doğrulama yöntemi tarafından seçilen varlık takma adlarına (entity aliases) dayalı olarak politikaların atanmasına ve MFA ilişkilendirmesine izin vermekteydi. LDAP kimlik doğrulama yönteminde username_as_alias=true parametresi kullanıldığında, çağıran tarafından sağlanan kullanıcı adı normalleştirilmeden olduğu gibi kullanılıyordu ve bu durum bir saldırganın takma ada özel MFA gereksinimlerini atlatmasına olanak tanıyordu. Bu sorun 2.3.2 sürümünde düzeltildi. Geçici çözüm olarak, username_as_alias=true parametresinin tüm kullanımlarını kaldırın ve ilgili tüm varlık takma adlarını güncelleyin.
Nasıl düzeltilir
- openbao openbao2.3.2 ya da sonraki bir sürüm
- github.com/openbao/openbao2.3.2, 0.0.0-20250807212521-c52795c1ef74 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openbao openbao | v < 2.3.2 | 2.3.2 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v < 2.3.2, v < 0.0.0-20250807212521-c52795c1ef74, 0.1.0 ≤ v | 2.3.2, 0.0.0-20250807212521-c52795c1ef74 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.