BDU:2025-11280

Опубликовано: 08 авг. 2025

Источник: fstec

CVSS3: 6.5

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость системы управления секретами и шифрованием OpenBao связана с неправильной нейтрализацией пробелов в базовой библиотеке TOTP. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Вендор

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС

OpenBao

Версия ПО

7.3 (РЕД ОС)

от 0.1.0 до 2.3.2 (OpenBao)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 6,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для OpenBao:

https://github.com/openbao/openbao/commit/183891f8d535d5b6eb3d79fda8200cade6de99e1

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-55000
CVE

EPSS

Процентиль: 6%

0.00026

Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

ROS-20250912-13

CVSS3: 9.1

redos

4 месяца назад

Множественные уязвимости openbao

CVE-2025-55000

CVSS3: 6.5

nvd

5 месяцев назад

OpenBao exists to provide a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys. In versions 0.1.0 through 2.3.1, OpenBao's TOTP secrets engine could accept valid codes multiple times rather than strictly-once. This was caused by unexpected normalization in the underlying TOTP library. To work around, ensure that all codes are first normalized before submitting to the OpenBao endpoint. TOTP code verification is a privileged action; only trusted systems should be verifying codes.

CVE-2025-55000

CVSS3: 6.5

debian

5 месяцев назад

OpenBao exists to provide a software solution to manage, store, and di ...

GHSA-f7c3-mhj2-9pvg

CVSS3: 6.5

github

5 месяцев назад

OpenBao TOTP Secrets Engine Code Reuse

EPSS

Процентиль: 6%

0.00026

Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2