🇰🇷 한글 설명
OpenBao 2.4.2 미만 버전에서 감사 로그(audit log)가 특정 서브시스템의 []byte 응답 파라미터를 적절히 마스킹하지 못하는 취약점이 발견되었습니다. 이로 인해 base64 인코딩된 데이터나 Ed25519 키의 공개키와 같은 민감한 정보가 로그에 그대로 노출될 수 있습니다.
💡 쉬운 설명
비밀번호 관리 시스템의 기록 장치에 민감한 정보가 가려지지 않고 그대로 저장되는 문제입니다. 이로 인해 로그 파일을 볼 수 있는 사람이 중요한 보안 정보를 훔쳐볼 위험이 있습니다.
🇺🇸 원문 (English)
OpenBao is an open source identity-based secrets management system. Prior to version 2.4.2, OpenBao's audit log did not appropriately redact fields when relevant subsystems sent []byte response parameters rather than strings. This includes, but is not limited to sys/raw with use of encoding=base64, all data would be emitted unredacted to the audit log, and Transit, when performing a signing operation with a derived Ed25519 key, would emit public keys to the audit log. This issue has been patched in OpenBao 2.4.2.
📍 영향받는 시스템
OpenBao 2.4.2 미만 모든 버전
⚔️ 공격 벡터
민감한 데이터가 포함된 요청을 보내 감사 로그에 기록되도록 유도하여 노출된 로그 파일을 탈취
🛡️ 대응 방법
OpenBao를 최신 보안 패치가 적용된 2.4.2 버전 이상으로 업데이트
🔧 검증 코드
출력된 버전 번호가 2.4.2보다 낮은 경우 취약한 버전이므로 업데이트가 필요합니다.
openbao --version 2>/dev/null | grep -E '2\[\.\d+\]'