CVE-2025-55003
Açıklama
OpenBao; sırlar, sertifikalar ve anahtarlar dahil olmak üzere hassas verileri yönetmek, depolamak ve dağıtmak için bir yazılım çözümü sağlamak amacıyla mevcuttur. 2.3.1 ve altı sürümlerde, OpenBao'nun Giriş Çok Faktörlü Kimlik Doğrulama (MFA) sistemi, Zaman Tabanlı Tek Kullanımlık Şifre (TOTP) kullanarak MFA uygulanmasına izin verir. Altta yatan TOTP kütüphanesi tarafından uygulanan normalleştirme nedeniyle, boşluk içerebilen kodlar kabul edilmiştir; bu boşluklar, MFA yönteminin dahili hız sınırlamasını (rate limiting) atlayabilir ve mevcut MFA kodlarının yeniden kullanılmasına izin verebilir. Bu sorun 2.3.2 sürümünde düzeltilmiştir. Buna geçici bir çözüm olarak, hız sınırlama kotalarının kullanımı bir saldırganın bunu istismar etme yeteneğini kısıtlayabilir: https://openbao.org/api-docs/system/rate-limit-quotas/.
Nasıl düzeltilir
- openbao openbao2.3.2 ya da sonraki bir sürüm
- github.com/openbao/openbao2.3.2, 0.0.0-20250807113757-8340a6918f6c ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openbao openbao | v < 2.3.2 | 2.3.2 |
| github.com/openbao/openbaoGo | 0.1.0 ≤ v < 2.3.2, v < 0.0.0-20250807113757-8340a6918f6c, 0.1.0 ≤ v | 2.3.2, 0.0.0-20250807113757-8340a6918f6c |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.