BDU:2025-11281

Опубликовано: 08 авг. 2025

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость системы управления секретами и шифрованием OpenBao связана с недостаточным ограничением попыток аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Вендор

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС

OpenBao

Версия ПО

7.3 (РЕД ОС)

от 0.1.0 до 2.3.2 (OpenBao)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,3)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для OpenBao:

https://github.com/openbao/openbao/commit/c52795c1ef746c7f2c510f9225aa8ccbbd44f9fc

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-54998
CVE

EPSS

Процентиль: 15%

0.00049

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

ROS-20250912-13

CVSS3: 9.1

redos

4 месяца назад

Множественные уязвимости openbao

CVE-2025-54998

CVSS3: 5.3

nvd

5 месяцев назад

OpenBao exists to provide a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys. In versions 0.1.0 through 2.3.1, attackers could bypass the automatic user lockout mechanisms in the OpenBao Userpass or LDAP auth systems. This was caused by different aliasing between pre-flight and full login request user entity alias attributions. This is fixed in version 2.3.2. To work around this issue, existing users may apply rate-limiting quotas on the authentication endpoints:, see https://openbao.org/api-docs/system/rate-limit-quotas/.

CVE-2025-54998

CVSS3: 5.3

debian

5 месяцев назад

OpenBao exists to provide a software solution to manage, store, and di ...

GHSA-j3xv-7fxp-gfhx

CVSS3: 5.3

github

5 месяцев назад

OpenBao Userpass and LDAP User Lockout Bypass

EPSS

Процентиль: 15%

0.00049

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2