PT-2026-51111
CVE-2026-55776
·
تاريخ النشر
2026-06-19
·
تاريخ التحديث
2026-09-25
الوصف من
CVSS 2.0
6.8
متوسطةالمقاييسAV:N/AC:L/Au:S/C:N/I:N/A:C
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات OpenBao من 2.5.2 إلى 2.5.4
الوصف
يمكن للمستخدم المصادق عليه الذي يتمتع بحق الوصول للكتابة إلى نقطة النهاية
transit/keys/* أن يتسبب في حدوث رفض الخدمة عن طريق تعطيل الخادم. يحدث هذا عند إرسال طلب إنشاء مفتاح يجمع بين نوع غير متماثل (مثل rsa-* أو ecdsa-* أو ed25519) والمتغير derived الذي تم تعيينه على true. يفشل الخادم في إرجاع استجابة HTTP وتنتهي العملية برمز الخروج 2، مما قد يؤدي إلى تعطل المجموعة بأكملها. تنشأ المشكلة من افتراض محرك Transit وجود شكل مفتاح متماثل عند تمكين اشتقاق المفتاح، مما يؤدي إلى حدوث حالة ذعر عند توفير نوع غير متماثل.التوصيات
بالنسبة لإصدارات OpenBao من 2.5.2 إلى 2.5.4، تحقق من صحة الجمع بين
type وderived في بداية معالج إنشاء المفتاح وارفض الطلبات بخطأ 400 إذا تم استخدام derived: true مع أي نوع غير متماثل.كحل مؤقت، تجنب تعيين المتغير
derived إلى true عند إنشاء مفاتيح ذات أنواع غير متماثلة في نقطة النهاية transit/keys/*. وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾