प्लेटफ़ॉर्म
go
घटक
openbao
में ठीक किया गया
2.5.3
CVE-2026-33757 OpenBao में एक भेद्यता है जो JWT/OIDC लॉगिन के दौरान उपयोगकर्ता पुष्टिकरण की कमी के कारण रिमोट फ़िशिंग की अनुमति देती है। इसका प्रभाव यह है कि हमलावर पीड़ित को एक URL पर जाने के लिए मजबूर कर सकता है और स्वचालित रूप से हमलावर के सत्र में लॉग इन कर सकता है। यह भेद्यता OpenBao के 2.5.2 से पहले के संस्करणों को प्रभावित करती है। संस्करण 2.5.2 में इस समस्या का समाधान किया गया है।
CVE-2026-33757 OpenBao को प्रभावित करता है, जो एक ओपन-सोर्स, पहचान-आधारित सीक्रेट मैनेजमेंट सिस्टम है। यह भेद्यता JWT/OIDC के माध्यम से लॉग इन करते समय, यदि रोल में callback_mode direct पर सेट है, तो उपयोगकर्ता की पुष्टि की कमी में निहित है। यह एक हमलावर को प्रमाणीकरण अनुरोध शुरू करने और "रिमोट फ़िशिंग" करने की अनुमति देता है, जिससे पीड़ित को URL पर जाने और हमलावर के सत्र में स्वचालित रूप से लॉग इन करने के लिए प्रेरित किया जाता है। प्रमाणीकरण कोड फ्लो पर आधारित होने के बावजूद, direct मोड सीधे API को कॉल बैक करता है, जिससे मानक सुरक्षा उपायों को दरकिनार कर दिया जाता है। इस भेद्यता का CVSS स्कोर 9.6 है, जो एक गंभीर जोखिम दर्शाता है।
एक हमलावर इस भेद्यता का फायदा उठाने के लिए एक दुर्भावनापूर्ण URL बना सकता है जो एक वैध OpenBao लॉगिन पेज की नकल करता है। उपयोगकर्ता को इस URL पर जाने के लिए प्रेरित करके, हमलावर प्रमाणीकरण प्रक्रिया शुरू कर सकता है, और direct कॉन्फ़िगरेशन के कारण, उपयोगकर्ता स्वचालित रूप से हमलावर के सत्र में लॉग इन हो जाएगा। यह हमलावर को समझौता किए गए उपयोगकर्ता के विशेषाधिकारों के साथ OpenBao द्वारा प्रबंधित सीक्रेट तक पहुंचने की अनुमति देगा। शोषण की आसानी, प्रभाव की गंभीरता के साथ मिलकर, इस भेद्यता को एक महत्वपूर्ण खतरा बनाती है।
Organizations utilizing OpenBao for secrets management, particularly those relying on JWT/OIDC authentication with roles configured for callback_mode: direct, are at significant risk. Shared hosting environments where OpenBao instances are deployed alongside other applications are also vulnerable, as a compromise of one instance could potentially lead to broader access.
• linux / server:
journalctl -u openbao | grep -i "callback_mode: direct"• generic web:
curl -I <openbao_auth_endpoint> | grep -i "callback_mode"disclosure
एक्सप्लॉइट स्थिति
EPSS
0.07% (21% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-33757 का समाधान OpenBao को संस्करण 2.5.2 या उससे ऊपर के संस्करण में अपडेट करना है। यह संस्करण JWT/OIDC के माध्यम से लॉग इन करते समय, यदि रोल में callbackmode direct पर सेट है, तो उपयोगकर्ता की पुष्टि की कमी को ठीक करता है। रिमोट फ़िशिंग हमलों के जोखिम को कम करने के लिए इस अपडेट को जल्द से जल्द लागू करने की पुरजोर अनुशंसा की जाती है। इसके अतिरिक्त, OpenBao में अपने रोल के कॉन्फ़िगरेशन की समीक्षा करें और सुनिश्चित करें कि callbackmode केवल तभी direct पर सेट किया गया है जब यह बिल्कुल आवश्यक हो और सुरक्षा निहितार्थों को पूरी तरह से समझा गया हो। प्रमाणीकरण से संबंधित संदिग्ध गतिविधि के लिए OpenBao लॉग की निगरानी करें।
Actualice OpenBao a la versión 2.5.2 o superior. Como alternativa, elimine cualquier rol con `callback_mode=direct` o fuerce la confirmación para cada sesión en el lado del emisor del token para el Client ID utilizado por OpenBao.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
OpenBao एक ओपन-सोर्स, पहचान-आधारित सीक्रेट मैनेजमेंट सिस्टम है।
संस्करण 2.5.2 CVE-2026-33757 को ठीक करता है, जो रिमोट फ़िशिंग हमलों को सक्षम बनाता है।
यह OpenBao में एक कॉन्फ़िगरेशन है जो API को सीधे कॉल बैक करने की अनुमति देता है, उपयोगकर्ता की पुष्टि को दरकिनार करता है, और भेद्यता के शोषण को सुविधाजनक बनाता है।
यदि आप OpenBao के 2.5.2 से पहले के संस्करण का उपयोग कर रहे हैं और आपके पास callback_mode direct पर सेट किए गए रोल हैं, तो आप संभवतः प्रभावित हैं।
तुरंत सभी उपयोगकर्ताओं के पासवर्ड बदलें और संदिग्ध गतिविधि के लिए OpenBao लॉग की जांच करें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी go.mod फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।