OpenBao permite o cancelamento de operações de rekey raiz e rekey de recuperação sem autenticação

A vulnerabilidade CVE-2025-52894 no OpenBao e HashiCorp Vault permite que um atacante cancele operações de rekeying de raiz e recuperação sem autenticação ou auditoria, resultando em uma negação de serviço (DoS). Essa vulnerabilidade afeta versões específicas do OpenBao e, devido a componentes compartilhados com o Vault, pode afetar ambientes que utilizam ambas as ferramentas. O cancelamento dessas operações, embora infrequente, pode interromper a rotação de segredos e comprometer a segurança geral do sistema. A gravidade decorre da facilidade de exploração, não exigindo credenciais para executar a ação. A falta de auditoria dificulta ainda mais a detecção e o rastreamento desses ataques.

Organizations utilizing OpenBao for secrets management and relying on its rekey functionality are at risk. Specifically, deployments with older versions (prior to 2.3.1) and those not actively monitoring their OpenBao instances are particularly vulnerable.

• linux / server:

journalctl -u openbao | grep -i "rekey cancellation"

• generic web:

curl -I http://<openbao_host>/rekey/cancel

(Expect a 403 Forbidden or similar error after mitigation)

1. 2025-06-26Disclosure

   disclosure

1. Reservado2025-06-20
2. Publicada2025-06-26
3. Modificada2026-04-01
4. EPSS atualizado2026-03-23

Para mitigar essa vulnerabilidade, atualize o OpenBao para a versão 2.3.1 ou posterior. Como uma solução alternativa imediata, no OpenBao v2.2.2 e posterior, definir a opção de configuração disableunauthedrekey_endpoints=true desativa esses pontos finais raramente usados em listeners globais. Isso impede que atacantes não autenticados cancelem as operações de rekeying. Consulte a documentação oficial do OpenBao para obter instruções detalhadas sobre como configurar esta opção. Além disso, monitore os logs do OpenBao e do Vault em busca de atividades suspeitas relacionadas às operações de rekeying.