Cipherboy

**Nome do Software Vulnerável e Versões Afetadas** OpenBao versões anteriores a 2.5.3 **Descrição** Existe um problema no sistema de gerenciamento de segredos baseado em identidade onde uma falha inicial durante a exclusão de um namespace faz com que as tentativas subsequentes falhem ao remover todos os dados antes que o namespace seja marcado como excluído. Isso pode resultar na permanência de concessões (leases) pendentes ou na permanência de entradas de armazenamento não relacionadas. **Recomendações** Atualizar para a versão 2.5.3. Remover manualmente as montagens antes de excluir o namespace. Utilizar logs de auditoria para identificar tentativas repetidas de exclusão no mesmo namespace e utilizar `sys/raw` para identificar concessões que não foram excluídas corretamente.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenBao 2.3.1 e inferiores **Descrição** O OpenBao é uma solução de software para gerenciamento, armazenamento e distribuição de dados sensíveis. Nas versões afetadas, contas com acesso a sistemas de entidades de identidade altamente privilegiados em namespaces root poderiam elevar seu escopo diretamente para a política root. O sistema de identidade permitia a adição de políticas arbitrárias com concessões de capacidades em caminhos arbitrários, mas a política root era restrita à geração manual. A política root global não era acessível a partir de namespaces filhos. **Recomendações** Versões do OpenBao anteriores à 2.3.2: Atualize para a versão 2.3.2 ou posterior para resolver este problema. Como solução temporária, o uso de `denied parameters` em qualquer política que tenha acesso aos endpoints de identidade afetados (em `identity entities`) pode ser suficiente para impedir este tipo de ataque.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenBao de 0.1.0 a 2.3.1 **Descrição** Atacantes poderiam contornar os mecanismos automáticos de bloqueio de usuário nos sistemas de autenticação Userpass ou LDAP do OpenBao. Isso foi causado por uma diferença no aliasing entre as atribuições de alias de entidade de usuário nas requisições pre-flight e de login completo. **Recomendações** Atualize para a versão 2.3.2 para resolver este problema. Aplique cotas de limitação de taxa nos endpoints de autenticação.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenBao de 0.1.0 a 2.3.1 **Descrição** O OpenBao é uma solução de software projetada para gerenciar, armazenar e distribuir dados sensíveis, incluindo segredos, certificados e chaves. Nas versões 0.1.0 a 2.3.1, a enumeração de usuários era possível ao utilizar o método de autenticação userpass devido a diferenças de tempo entre usuários inexistentes e usuários com credenciais armazenadas. Este problema ocorria independentemente da validade das credenciais fornecidas. **Recomendações** A versão 2.3.2 e posteriores do OpenBao resolve este problema. Como solução alternativa, utilize um método de autenticação alternativo. Aplique quotas de limitação de taxa para restringir o número de requisições dentro de um período de tempo específico.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenBao de 0.1.0 a 2.3.1 **Descrição** O mecanismo de segredos TOTP do OpenBao poderia aceitar códigos válidos de Senha de Uso Único Baseada em Tempo (TOTP) múltiplas vezes em vez de estritamente uma vez. Este problema decorreu de uma normalização inesperada dentro da biblioteca TOTP subjacente. A verificação de códigos TOTP é uma ação privilegiada e deve ser realizada apenas por sistemas confiáveis. **Recomendações** Versões anteriores a 2.3.2 são afetadas. Garanta que todos os códigos sejam normalizados antes de enviá-los ao endpoint do OpenBao.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenBao 2.3.1 e anteriores **Descrição** O OpenBao permite a atribuição de políticas e de MFA com base em aliases de entidade. Quando o parâmetro `username as alias=true` no método de autenticação LDAP é utilizado, o nome de usuário fornecido é usado sem normalização, potencialmente permitindo que um atacante contorne os requisitos de MFA específicos de alias. **Recomendações** Versões do OpenBao anteriores à 2.3.2: Remova todo o uso do parâmetro `username as alias=true` e atualize quaisquer aliases de entidade conforme necessário.

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenBao 2.3.1 e inferiores **Descrição** O sistema de Autenticação de Fator Múltiplo (MFA) de login do OpenBao, que utiliza Senha Única Baseada em Tempo (TOTP), aceitava códigos contendo espaços em branco devido à normalização aplicada pela biblioteca TOTP subjacente. Isso contornou a limitação de taxa interna, permitindo a reutilização de códigos MFA existentes. **Recomendações** Atualize para a versão 2.3.2 para resolver este problema. Utilize cotas de limitação de taxa para limitar a exploração potencial.

Name of the Vulnerable Software and Affected Versions: OpenBao versions prior to 2.3.0 Description: OpenBao is a software solution for managing, storing, and distributing sensitive data, including secrets, certificates, and keys. The issue allows an attacker to perform unauthenticated, unaudited cancellation of root rekey and recovery rekey operations, resulting in a denial of service. Recommendations: For OpenBao versions prior to 2.3.0, manually set the configuration option `disable unauthed rekey endpoints=true` to deny these endpoints on global listeners. As a temporary workaround, if an active proxy or load balancer sits in front of OpenBao, consider denying requests to these endpoints from unauthorized IP ranges. Update to version 2.3.0 or later, where the issue is resolved.

Nome do Software Vulnerável e Versões Afetadas: Versões do OpenBao anteriores a 2.3.0 Descrição: O problema refere-se ao potencial vazamento de informações sensíveis em logs ao processar dados malformados. Este problema foi identificado no OpenBao, uma solução de software projetada para gerenciar, armazenar e distribuir dados sensíveis, incluindo segredos, certificados e chaves. Não há incidentes reais conhecidos ou números estimados de dispositivos afetados mencionados. Recomendações: Para versões anteriores a 2.3.0, atualize para a versão 2.3.0 ou posterior para resolver o problema. Como medida paliativa temporária, garanta que todas as requisições dos clientes estejam devidamente formatadas para minimizar o risco de vazamento de informações sensíveis.

Nome do Software Vulnerável e Versões Afetadas: MonicaHQ versão 4.1.1 Descrição: A falha permite que atacantes explorem uma injeção no lado do cliente autenticada nas edições de entradas de diário, com nível de severidade médio. Um patch está pendente e os usuários devem monitorar as atualizações atentamente. Recomendações: Para a versão 4.1.1, atualize para uma versão mais recente assim que o patch pendente for lançado para resolver o problema. Como solução alternativa temporária, considere restringir o acesso às edições de entradas de diário até que o patch esteja disponível.