OpenBao is an open source identity-based secrets management system. Prior to 2.6.0, OpenBao Agent's exec rendering mode could write secrets from env_template to standard output when command/agent/exec/exec.go re-created the template runner after repeated rendering failures, primarily after num_retries was reached. A process supervisor, log collector, or local user able to read that output could obtain the rendered secret values.
This issue is fixed in version 2.6.0.
Характеристики атаки
Способ атаки
Локальный
Нужен локальный доступ
Сложность
Низкая
Легко эксплуатировать
Условия для атаки
Требуются
Нужны дополнительные условия
Нужны права
Высокие
Нужны права администратора
Участие пользователя
Активное
Нужно действие пользователя
Последствия
Конфиденциальность
Низкое
Частичная утечка данных
Целостность
Нет
Нет модификации данных
Доступность
Нет
Нет нарушения работы
Строка CVSS v4.0
Тип уязвимости (CWE)
Ссылки 6
https://github.com/openbao/openbao/commit/90272575e5f58b3883fbb0ccb2238e9285722…
security-advisories@github.com
https://github.com/openbao/openbao/commit/ee3aa4aff72c5176cf02af21eac7158899080…
security-advisories@github.com
https://github.com/openbao/openbao/pull/3494
security-advisories@github.com
https://github.com/openbao/openbao/pull/3495
security-advisories@github.com
https://github.com/openbao/openbao/releases/tag/v2.6.0
security-advisories@github.com
https://github.com/openbao/openbao/security/advisories/GHSA-444v-8vxr-p36h
security-advisories@github.com