El Operador OpenBao Privilegiado Puede Ejecutar Código en el Host Subyacente en github.com/openbao/openbao

La gravedad de esta vulnerabilidad radica en la posibilidad de ejecución remota de código. Un atacante que explote esta vulnerabilidad podría obtener control total sobre el nodo Kubernetes donde se ejecuta el operador OpenBao. Esto podría resultar en la exfiltración de datos sensibles, la modificación de la configuración del clúster, la instalación de malware o incluso el uso del nodo comprometido como punto de apoyo para atacar otros sistemas dentro de la red. La naturaleza privilegiada del operador amplifica el impacto, ya que el atacante podría escalar privilegios fácilmente. Si bien no se han reportado explotaciones públicas, la alta puntuación CVSS indica un riesgo significativo.

Organizations deploying OpenBao Operator in production environments, particularly those with privileged access controls or shared infrastructure, are at significant risk. Environments utilizing older, unpatched versions of the OpenBao Operator are especially vulnerable.

• linux / server:

journalctl -u openbao -g 'error' -g 'critical'

• go / supply-chain: Inspect the OpenBao Operator's deployment manifests for any unusual or suspicious configurations that could facilitate privilege escalation. • generic web: Monitor access logs for requests targeting the OpenBao Operator's API endpoints, particularly those related to privileged operations.

1. 2025-08-11Disclosure

   disclosure

1. Reservado2025-08-04
2. Publicada2025-08-11
3. EPSS actualizado2026-03-23

La mitigación principal para CVE-2025-54997 es actualizar el operador OpenBao a la versión v2.3.2 o superior (0.0.0-20250806194004-a14053c9679d). Si la actualización causa problemas de compatibilidad, considere una reversión temporal a una versión anterior conocida como segura, mientras se evalúa la compatibilidad de la versión corregida. Además, revise los permisos del operador OpenBao para asegurar que solo tenga los privilegios mínimos necesarios para su funcionamiento. Implementar políticas de control de acceso basadas en roles (RBAC) en Kubernetes puede ayudar a limitar el impacto de una posible explotación.