CVE-2026-63132

Nome do Software Vulnerável e Versões Afetadas OpenBao versões anteriores a 2.6.0

Descrição O OpenBao é um sistema de gerenciamento de segredos baseado em identidade. A função handleLogicalRecovery no arquivo http/logical.go utiliza igualdade de string comum para comparar o token de recuperação altamente privilegiado. Um invasor remoto não autenticado pode realizar um ataque de temporização (timing attack)—um método de inferir dados secretos medindo o tempo que um sistema leva para responder a diferentes entradas—fazendo solicitações repetidas no modo de recuperação. Isso permite que o invasor infira o token de recuperação e autorize operações para ler ou modificar dados no sistema.

Recomendações Atualizar para a versão 2.6.0.