CVE-2026-55776 in OpenBao
要約
〜によって VulDB • 2026年09月15日
OpenBaoは、アイデンティティベースのシークレット管理システムです。バージョン2.5.5より前では、transit/keys/*に対して書き込み権限を持つ認証済みOpenBao呼び出し元が、derivedをtrueに設定し、typeパラメータでrsa-、ecdsa-、またはed25519を選択することで、サーバープロセスを終了させることができました。builtin/logical/transit/backend.goおよびsdk/helper/keysutil/policy.go内のTransitポリシー作成パスでは、この無効な非対称派生キーの組み合わせを処理する際にミューテックスが二重にアンロックされるエラーパスに至り、パニック、HTTPレスポンスなし、プロセス終了、およびサービス拒否（DoS）を引き起こしました。JSONおよびHCL形式のキー作成リクエストでこのトリガーとなる組み合わせを指定できます。本問題はバージョン2.5.5で修正されています。
If you want to get best quality of vulnerability data, you may have to visit VulDB.