🇰🇷 한글 설명
OpenBao의 identity group 서브시스템에서 권한 상승 취약점이 발견되었습니다. 2.4.4 미만 버전에서 특권 운영자가 identity group에 root 정책을 추가하여 자신 또는 다른 사용자의 권한을 시스템 최고 수준으로 격상시킬 수 있습니다.
💡 쉬운 설명
관리자 권한을 가진 사용자가 시스템의 모든 통제권을 가질 수 있는 '마스터 키'를 몰래 생성할 수 있는 문제입니다. 이를 통해 원래 허용되지 않은 모든 데이터에 접근할 수 있게 됩니다.
🇺🇸 원문 (English)
OpenBao is an open source identity-based secrets management system. Prior to version 2.4.4, a privileged operator could use the identity group subsystem to add a root policy to a group identity group, escalating their or another user's permissions in the system. Specifically this is an issue when: an operator in the root namespace has access to identity/groups endpoints and an operator does not have policy access. Otherwise, an operator with policy access could create or modify an existing policy to grant root-equivalent permissions through the sudo capability. This issue has been patched in version 2.4.4.
📍 영향받는 시스템
OpenBao version 2.4.4 미만
⚔️ 공격 벡터
identity/groups 엔드포인트에 접근 가능한 운영자가 identity group에 root 정책을 추가하여 권한을 상승시킴
🛡️ 대응 방법
OpenBao를 최신 보안 패치가 적용된 버전인 2.4.4 이상으로 업데이트하십시오.
🔧 검증 코드
명령어 결과에 2.4.4 미만의 버전 번호가 출력되면 취약한 버전이 설치된 상태입니다.
openbao --version 2>/dev/null | grep -E '2\.[0-4]\.[4-9]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
💻 영향받는 소프트웨어
IBM Verify Identity Access