PT-2025-32383 · Openbao+1 · Openbao+1

Cipherboy · Publicado 2025-08-08 · Atualizado 2025-09-12 · CVE-2025-55001

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.7

Alta

Vetor base

AV:N/AC:L/Au:M/C:C/I:C/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do OpenBao 2.3.1 e anteriores

Descrição O OpenBao permite a atribuição de políticas e de MFA com base em aliases de entidade. Quando o parâmetro username as alias=true no método de autenticação LDAP é utilizado, o nome de usuário fornecido é usado sem normalização, potencialmente permitindo que um atacante contorne os requisitos de MFA específicos de alias.

Recomendações Versões do OpenBao anteriores à 2.3.2: Remova todo o uso do parâmetro username as alias=true e atualize quaisquer aliases de entidade conforme necessário.

Exploit

Correção

Enumeração de Fraquezas

CWE-156

Identificadores relacionados

BDU:2025-11279

CVE-2025-55001

GHSA-2Q8Q-8FGW-9P6P

GO-2025-3859

OPENSUSE-SU-2025:15434-1

SUSE-SU-2025:02912-1

Produtos afetados

Openbao

Red Os

Referências · 50

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/55xxx/CVE-2025-55001.json · Exploit
• https://github.com/openbao/openbao · Nota
• https://github.com/openbao/openbao/commit/c52795c1ef746c7f2c510f9225aa8ccbbd44f9fc · Correção
• https://github.com/openbao/openbao/security/advisories/GHSA-2q8q-8fgw-9p6p · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure · Nota
• https://suse.com/security/cve/CVE-2025-53942 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2025-6013 · Nota de Segurança
• https://suse.com/security/cve/CVE-2021-21411 · Nota
• https://suse.com/security/cve/CVE-2025-44779 · Nota
• https://suse.com/security/cve/CVE-2025-53534 · Nota
• https://suse.com/security/cve/CVE-2025-54996 · Nota
• https://suse.com/security/cve/CVE-2025-6014 · Nota
• https://suse.com/security/cve/CVE-2025-5999 · Nota
• https://suse.com/security/cve/CVE-2025-54386 · Nota
• https://suse.com/security/cve/CVE-2025-6011 · Nota