🇰🇷 한글 설명
OpenBao 2.3.1 이하 버전에서 루트 네임스페이스의 고권한 ID 엔티티 시스템에 접근할 수 있는 계정이 자신의 권한 범위를 루트 정책으로 직접 확장할 수 있는 취약점이 발견되었습니다. 이 취약점을 통해 공격자는 원래 제한되어 있던 글로벌 루트 정책에 접근하여 권한을 탈취할 수 있습니다. 해당 문제는 2.3.2 버전에서 수정되었습니다.
💡 쉬운 설명
보안 데이터를 관리하는 OpenBao 프로그램에서 권한이 높은 사용자가 자신의 권한을 관리자급으로 몰래 높일 수 있는 결함이 발견되었습니다. 이로 인해 공격자가 시스템 전체를 제어할 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
OpenBao exists to provide a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys. In versions 2.3.1 and below, accounts with access to highly-privileged identity entity systems in root namespaces were able to increase their scope directly to the root policy. While the identity system allowed adding arbitrary policies, which in turn could contain capability grants on arbitrary paths, the root policy was restricted to manual generation using unseal or recovery key shares. The global root policy was not accessible from child namespaces. This issue is fixed in version 2.3.2. To workaround this vulnerability, use of denied_parameters in any policy which has access to the affected identity endpoints (on identity entities) may be sufficient to prohibit this type of attack.
📍 영향받는 시스템
OpenBao 2.3.1 및 그 이하 버전
⚔️ 공격 벡터
루트 네임스페이스의 고권한 ID 엔티티 시스템을 이용한 권한 범위(Scope) 확장 공격
🛡️ 대응 방법
OpenBao를 최신 버전인 2.3.2 이상으로 업데이트하거나, 정책에 denied_parameters를 사용하여 공격을 방어합니다.
🔧 검증 코드
명령어 결과에 2.3.0, 2.3.1 등의 버전이 출력되면 취약한 버전이 설치된 상태입니다.
openbao --version 2>/dev/null | grep -E '2\.(3\.[0-1])'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access