CVE-2025-62513
Açıklama
OpenBao, açık kaynaklı kimlik tabanlı bir sırlar yönetim sistemidir. 2.2.0 ile 2.4.1 arasındaki sürümlerde, OpenBao denetim günlüğünde, birkaç uç nokta tarafından kullanılan ham HTTP gövdelerinin doğru şekilde maskelenmediği (HMAC uygulanmadığı) bir gerileme yaşanmıştır. Bu durum, PKI'ın ACME işlevini kullananları etkileyerek kısa ömürlü ACME doğrulama meydan okuma kodlarının denetim günlüklerinde sızdırılmasına neden olur. Ek olarak bu durum, kimlik alt sisteminin OIDC yayıncı işlevini kullananları etkiler; kimlik doğrulama ve belirteç yanıt kodları ile talepler denetim günlüklerinde sızdırılabilir. ACME doğrulama kodları, doğrulamadan veya meydan okuma süresinin dolmasından sonra kullanılamaz, bu nedenle uzun vadeli kullanımı sınırlıdır. Bu sorun OpenBao 2.4.2 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- openbao openbao2.4.2 ya da sonraki bir sürüm
- github.com/openbao/openbao0.0.0-20251022165510-cc2c476bac66 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openbao openbao | 2.2.0 ≤ v < 2.4.2 | 2.4.2 |
| github.com/openbao/openbaoGo | 0.0.0-20241114205727-b1235e585db7 ≤ v < 0.0.0-20251022165510-cc2c476bac66 | 0.0.0-20251022165510-cc2c476bac66 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.