CVE-2025-54997

OpenBao: ominięcie restrykcji przez subsystem audytu — RCE i dostęp sieciowy

CVSS 9.1v3.1pub. 2025-08-09upd. 2025-08-13

W OpenBao w wersjach 2.3.1 i wcześniejszych uprzywilejowani operatorzy API mogą ominąć zamierzone ograniczenia wykonywania kodu systemowego i nawiązywania połączeń sieciowych poprzez manipulację prefiksami logów w subsystemie audytu. Podatność jest krytyczna, ponieważ narusza fundamentalne założenia modelu bezpieczeństwa środowisk zarządzania sekretami.

▸ Pokaż oryginał (EN)

OpenBao exists to provide a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys. In versions 2.3.1 and below, some OpenBao deployments intentionally limit privileged API operators from executing system code or making network connections. However, these operators can bypass both restrictions through the audit subsystem by manipulating log prefixes. This allows unauthorized code execution and network access that violates the intended security model. This issue is fixed in version 2.3.2. To workaround, users can block access to sys/audit/* endpoints using explicit deny policies, but root operators cannot be restricted this way.

🤖 Analiza AI

Jak działa

Niektóre wdrożenia OpenBao celowo ograniczają uprzywilejowanym operatorom API możliwość wykonywania kodu na poziomie systemu operacyjnego oraz nawiązywania połączeń sieciowych. Atakujący posiadający dostęp do uprzywilejowanego konta operatora może jednak obejść oba zabezpieczenia, manipulując prefiksami logów w subsystemie audytu (endpointy sys/audit/*). Mechanizm ten umożliwia nieautoryzowane wykonanie kodu (RCE) oraz dostęp do sieci bez wymaganej autoryzacji. Dla operatorów z dostępem root nie istnieje możliwość zastosowania obejścia opartego na politykach odmowy.

Skutki

Atakujący z dostępem do uprzywilejowanego konta operatora może wykonać dowolny kod na hoście, na którym działa OpenBao, oraz nawiązywać nieautoryzowane połączenia sieciowe, co w środowisku zarządzania sekretami może prowadzić do pełnego przejęcia infrastruktury i wycieku wrażliwych danych.

Mitygacja

Należy zaktualizować OpenBao do wersji 2.3.2, w której problem został naprawiony. Jako obejście (nie dotyczy operatorów root) można zablokować dostęp do endpointów sys/audit/* za pomocą jawnych polityk odmowy (explicit deny policies). Operatorów z uprawnieniami root nie można w ten sposób ograniczyć — wymagana jest aktualizacja.

Kogo dotyczy

OpenBao w wersjach 2.3.1 i wcześniejszych, w których wdrożenia celowo ograniczają uprawnienia operatorów API do wykonywania kodu systemowego lub nawiązywania połączeń sieciowych

Uwagi

Podatność wymaga posiadania uprzywilejowanego konta operatora API (PR:H w wektorze CVSS), co ogranicza powierzchnię ataku do wewnętrznych lub skompromitowanych kont. Operatorzy root pozostają poza zasięgiem obejścia opartego na politykach — jedyną skuteczną mitygacją jest aktualizacja do wersji 2.3.2.