🇰🇷 한글 설명
OpenBao 2.2.0에서 2.4.1 버전 사이에서 감사 로그(Audit Log)의 데이터 마스킹 기능이 제대로 작동하지 않는 결함이 발견되었습니다. 이로 인해 PKI의 ACME 기능 사용 시 검증 코드가, OIDC 기능 사용 시 인증 및 토큰 응답 코드가 감사 로그에 평문으로 노출될 수 있습니다.
💡 쉬운 설명
비밀번호 관리 도구인 OpenBao의 기록 장치에 민감한 정보가 암호화되지 않은 채 그대로 남는 문제가 발생했습니다. 이로 인해 로그를 볼 수 있는 권한이 있는 사람이 중요한 인증 정보를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
OpenBao is an open source identity-based secrets management system. In versions 2.2.0 to 2.4.1, OpenBao's audit log experienced a regression wherein raw HTTP bodies used by few endpoints were not correctly redacted (HMAC'd). This impacts those using the ACME functionality of PKI, resulting in short-lived ACME verification challenge codes being leaked in the audit logs. Additionally, this impacts those using the OIDC issuer functionality of the identity subsystem, auth and token response codes along with claims could be leaked in the audit logs. ACME verification codes are not usable after verification or challenge expiry so are of limited long-term use. This issue has been patched in OpenBao 2.4.2.
📍 영향받는 시스템
OpenBao versions 2.2.0 to 2.4.1
⚔️ 공격 벡터
감사 로그에 노출된 민감한 인증 코드 및 토큰 정보를 탈취하여 권한을 오용함
🛡️ 대응 방법
OpenBao를 최신 패치 버전인 2.4.2 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.2.0부터 2.4.1 사이의 버전이 출력되면 취약한 버전이 설치된 상태입니다.
openbao --version 2>/dev/null | grep -E '2\.(2\.[0-9]|3\.|4\.[0-1])'