Cipherboy

Uma falha na verificação de autorização permite que atacantes interrompam os serviços de Agente e Proxy ao omitir o `X-Vault-Header`. Quando a configuração `require request header` está ativada, atacantes podem utilizar server-side request forgery (SSRF)—uma técnica que permite a um atacante induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido—para enviar requisições aos endpoints '/agent/v1/quit' e '/proxy/v1/quit' para desligar esses serviços.

O método de autenticação AppRole não verifica a expiração do Secret ID durante o uso. Isso permite que um invasor que possua um Secret ID expirado, que ainda não tenha sido removido pelo processo periódico de limpeza (tidy), realize o login e obtenha acesso além do Tempo de Vida (TTL) pretendido, que é a duração pela qual um token ou segredo é válido.

Existe um problema de divulgação de informações onde invasores podem vazar dados sensíveis para os logs de auditoria ao enviar parâmetros de plugin malformados. Ao enviar solicitações com valores de campo `TypeKVPair` ou `TypeHeader` malformados, mensagens de erro contendo a entrada sensível são registradas nos logs.

O provedor de identidade OIDC da interface do usuário permite que usuários não autenticados sejam redirecionados para destinos externos controlados por invasores por meio de links OIDC especialmente criados. Este problema pode ser explorado para facilitar ataques de phishing ou o roubo de credenciais de usuário.

Ocorre um bypass de ACL quando regras de negação explícitas baseadas em modelos de metadados de identidade proibidos dentro de concessões de curinga são descartadas silenciosamente. Isso permite que invasores com metadados de identidade contendo curingas ou segmentos de caminho acessem caminhos que deveriam ser restritos dentro do escopo mais amplo da concessão de curinga.

Existe um problema no sistema de gerenciamento de segredos baseado em identidade onde uma falha inicial durante a exclusão de um namespace faz com que as tentativas subsequentes falhem ao remover todos os dados antes que o namespace seja marcado como excluído. Isso pode resultar na permanência de concessões (leases) pendentes ou na permanência de entradas de armazenamento não relacionadas.

O sistema de Autenticação de Fator Múltiplo (MFA) de login do OpenBao, que utiliza Senha Única Baseada em Tempo (TOTP), aceitava códigos contendo espaços em branco devido à normalização aplicada pela biblioteca TOTP subjacente. Isso contornou a limitação de taxa interna, permitindo a reutilização de códigos MFA existentes.

O OpenBao é uma solução de software para gerenciamento, armazenamento e distribuição de dados sensíveis. Nas versões afetadas, contas com acesso a sistemas de entidades de identidade altamente privilegiados em namespaces root poderiam elevar seu escopo diretamente para a política root. O sistema de identidade permitia a adição de políticas arbitrárias com concessões de capacidades em caminhos arbitrários, mas a política root era restrita à geração manual. A política root global não era acessível a partir de namespaces filhos.

Atacantes poderiam contornar os mecanismos automáticos de bloqueio de usuário nos sistemas de autenticação Userpass ou LDAP do OpenBao. Isso foi causado por uma diferença no aliasing entre as atribuições de alias de entidade de usuário nas requisições pre-flight e de login completo.

O OpenBao é uma solução de software projetada para gerenciar, armazenar e distribuir dados sensíveis, incluindo segredos, certificados e chaves. Nas versões 0.1.0 a 2.3.1, a enumeração de usuários era possível ao utilizar o método de autenticação userpass devido a diferenças de tempo entre usuários inexistentes e usuários com credenciais armazenadas. Este problema ocorria independentemente da validade das credenciais fornecidas.

O mecanismo de segredos TOTP do OpenBao poderia aceitar códigos válidos de Senha de Uso Único Baseada em Tempo (TOTP) múltiplas vezes em vez de estritamente uma vez. Este problema decorreu de uma normalização inesperada dentro da biblioteca TOTP subjacente. A verificação de códigos TOTP é uma ação privilegiada e deve ser realizada apenas por sistemas confiáveis.

O OpenBao permite a atribuição de políticas e de MFA com base em aliases de entidade. Quando o parâmetro `username as alias=true` no método de autenticação LDAP é utilizado, o nome de usuário fornecido é usado sem normalização, potencialmente permitindo que um atacante contorne os requisitos de MFA específicos de alias.

Nome do Software Vulnerável e Versões Afetadas: Versões do OpenBao anteriores a 2.3.0 Descrição: O problema refere-se ao potencial vazamento de informações sensíveis em logs ao processar dados malformados. Este problema foi identificado no OpenBao, uma solução de software projetada para gerenciar, armazenar e distribuir dados sensíveis, incluindo segredos, certificados e chaves. Não há incidentes reais conhecidos ou números estimados de dispositivos afetados mencionados. Recomendações: Para versões anteriores a 2.3.0, atualize para a versão 2.3.0 ou posterior para resolver o problema. Como medida paliativa temporária, garanta que todas as requisições dos clientes estejam devidamente formatadas para minimizar o risco de vazamento de informações sensíveis.

Name of the Vulnerable Software and Affected Versions: OpenBao versions prior to 2.3.0 Description: OpenBao is a software solution for managing, storing, and distributing sensitive data, including secrets, certificates, and keys. The issue allows an attacker to perform unauthenticated, unaudited cancellation of root rekey and recovery rekey operations, resulting in a denial of service. Recommendations: For OpenBao versions prior to 2.3.0, manually set the configuration option `disable unauthed rekey endpoints=true` to deny these endpoints on global listeners. As a temporary workaround, if an active proxy or load balancer sits in front of OpenBao, consider denying requests to these endpoints from unauthorized IP ranges. Update to version 2.3.0 or later, where the issue is resolved.

Nome do Software Vulnerável e Versões Afetadas: MonicaHQ versão 4.1.1 Descrição: A falha permite que atacantes explorem uma injeção no lado do cliente autenticada nas edições de entradas de diário, com nível de severidade médio. Um patch está pendente e os usuários devem monitorar as atualizações atentamente. Recomendações: Para a versão 4.1.1, atualize para uma versão mais recente assim que o patch pendente for lançado para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às edições de entradas de diário até que o patch esteja disponível.