🇰🇷 한글 설명
OpenBao 2.5.4 미만 버전의 inline auth 기능에서 감사 로그(audit log)의 데이터 마스킹 처리가 올바르게 이루어지지 않는 취약점이 발견되었습니다. 이로 인해 인증 관련 헤더가 평문으로 로그에 남게 되어 민감한 정보가 노출될 수 있습니다. 공격자가 감사 로그 장치에 접근할 수 있는 권한을 가졌을 때 위험이 발생합니다.
💡 쉬운 설명
비밀번호나 인증 정보를 숨겨서 기록해야 하는 로그 파일에 중요한 보안 정보가 그대로 노출되는 문제입니다. 로그 파일을 볼 수 있는 권한을 가진 사람이 있다면 사용자의 인증 정보를 훔쳐볼 수 있습니다.
🇺🇸 원문 (English)
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.4, OpenBao's inline auth functionality incorrectly redacted audit log entries, resulting in non-auth headers being removed and auth-related headers being retained in cleartext. This requires an attacker to compromise access to the audit device. Operators should review leaked source authentication material and rotate it as appropriate. This is fixed in OpenBao v2.5.4.
📍 영향받는 시스템
OpenBao version < 2.5.4
⚔️ 공격 벡터
감사 로그(Audit Log) 저장 장치에 대한 접근 권한을 탈취하여 평문으로 기록된 인증 헤더를 확인
🛡️ 대응 방법
OpenBao를 v2.5.4 이상 버전으로 업데이트하고, 노출되었을 가능성이 있는 인증 정보를 즉시 교체(Rotation)하십시오.
🔧 검증 코드
명령어 결과에 v2.5.0부터 v2.5.4 미만의 버전이 나타나면 취약한 버전이 설치된 것입니다.
openbao --version 2>/dev/null | grep -E 'v2\[\.\]5\.[0-4]'
💻 영향받는 소프트웨어
IBM Verify Identity Access