OpenBao from 2.3.0 before 2.6.3 contains an incorrect authorization vulnerability in its ACL...
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
OpenBao の 2.3.0 以降 2.6.3 未満に、ACL ポリシーキャッシュの認可不備の脆弱性があります。細工されたポリシー名を使うことで、トークンが他のネームスペース(ルートネームスペースを含む)のキャッシュ済みポリシーの権限を得られ、ネームスペースをまたいだ操作が可能になるおそれがあります。対象の利用者は、修正版の 2.6.3 にアップデートしてください。
Paquets affectés
| Écosystème | Paquet | Concernées | Corrigé |
|---|---|---|---|
| openbao | openbao |
≥ 2.3.0, < 2.6.3 |
2.6.3 |
Description d'origine La description telle que publiée par la source (souvent en anglais).
OpenBao from 2.3.0 before 2.6.3 contains an incorrect authorization vulnerability in its ACL policy cache that allows tokens to reference policies from arbitrary namespaces using specially crafted policy names. Attackers holding such tokens can gain capabilities of cached policies in other namespaces, including the root namespace, to act across namespace boundaries.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
Références
- web github.com
- web vulncheck.com
- web nvd.nist.gov
- web github.com