🇰🇷 한글 설명
OpenBao 2.5.4 미만 버전의 Kerberos 인증 방식에서 GET 요청 시 오류 메시지와 함께 logical.Auth 객체가 응답에 포함되는 취약점이 발견되었습니다. 이로 인해 기본 정책과 TTL만 적용된 토큰이 생성되지만, 오류 메시지에 가려져 실제 토큰 접근은 불가능하며 sys/raw 외부로 노출되지 않습니다.
💡 쉬운 설명
인증 과정에서 오류가 발생할 때 시스템 내부적으로 불필요한 인증 토큰이 생성되는 문제입니다. 다만, 생성된 토큰은 오류 메시지 뒤에 숨겨져 있어 공격자가 이를 직접 탈취하거나 사용하기는 매우 어렵습니다.
🇺🇸 원문 (English)
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.4, in OpenBao's Kerberos auth method on the `GET` handler, or when an `Authorization: Negotiate` header is supplied, the response is includes a `logical.Auth` object in addition to an error message. This results in tokens being created with only the default policy, default TTL, and no entity information, which are hidden by the returned error message. No access to these tokens by the caller occurs and the authentication token is not ever made accessible outside of `sys/raw`. This is fixed in OpenBao v2.5.4. As a workaround, users may set a rate limit quota to limit the creation of these paths. As the path is unauthenticated, it isn't possible to deny access to it.
📍 영향받는 시스템
OpenBao version < 2.5.4
⚔️ 공격 벡터
Kerberos 인증 핸들러에 GET 요청을 보내거나 Authorization: Negotiate 헤더를 포함하여 전송
🛡️ 대응 방법
OpenBao를 v2.5.4 이상 버전으로 업데이트하거나, 해당 경로에 대한 생성 속도 제한(rate limit quota)을 설정
🔧 검증 코드
명령어 결과에 2.5.4 이상의 버전이 출력되지 않으면 취약한 버전일 가능성이 높습니다.
openbao --version 2>/dev/null | grep -E '2\[\.\][5-9]\.[4-9]'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L
💻 영향받는 소프트웨어
IBM Verify Identity Access