- Yama var
- Son 7 gün
- CWE-613
CVE-2026-115362
OpenBao AppRole kimlik doğrulamasında süresi dolmuş Secret ID kabul ediliyor
- Yayımlandı
- Güncellendi
- 22 Eki 2026
- Açık yaşı
- 5 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
OpenBao, 2.6.4 öncesi sürümlerde ve 2.7.x serisinin 2.7.1 öncesi sürümlerinde, AppRole kimlik doğrulama yönteminde Secret ID'nin kullanım anında süresinin dolup dolmadığını kontrol etmiyor. Bu nedenle, süresi dolmuş Secret ID'ler periyodik temizlik (tidy) işlemi tarafından kaldırılana kadar geçerli kalıyor. Süresi dolmuş ancak henüz temizlenmemiş bir Secret ID'ye sahip bir saldırgan oturum açabilir ve bu kimliğin TTL süresinin ötesinde erişim elde edebilir.
Kaynaktaki açıklama (İngilizce)
OpenBao before 2.6.4 and 2.7.x before 2.7.1 does not check Secret ID expiration at use in the AppRole auth method, leaving expired Secret IDs valid until the periodic tidy removes them. An attacker holding an expired, untidied Secret ID can log in and gain access beyond its TTL.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| openbao | < 2.6.4 | 2.6.4 |
| 2.6.4 Etkilenmiyor | – | |
| ≥ 2.7.0, < 2.7.1 | 2.7.1 | |
| 2.7.1 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.