CVE-2026-33757 in OpenBao
Tóm tắt
Bởi VulDB • 15/06/2026
OpenBao là một hệ thống quản lý bí mật dựa trên danh tính, mã nguồn mở. Trước phiên bản 2.5.2, OpenBao không yêu cầu xác nhận từ người dùng khi đăng nhập qua JWT/OIDC và một vai trò có `callback_mode` được đặt thành `direct`. Điều này cho phép kẻ tấn công khởi tạo một yêu cầu xác thực và thực hiện "lừa đảo từ xa" (remote phishing) bằng cách khiến nạn nhân truy cập vào URL và tự động đăng nhập vào phiên của kẻ tấn công. Mặc dù dựa trên luồng mã ủy quyền (authorization code flow), chế độ `direct` gọi lại trực tiếp vào API và cho phép kẻ tấn công thực hiện việc truy vấn (polling) để lấy mã thông báo OpenBao cho đến khi nó được cấp. Phiên bản 2.5.2 bao gồm một màn hình xác nhận bổ sung cho các lần đăng nhập loại `direct`, yêu cầu sự tương tác thủ công của người dùng để hoàn tất quá trình xác thực. Vấn đề này có thể được khắc phục bằng cách loại bỏ bất kỳ vai trò nào có `callback_mode=direct` hoặc bắt buộc xác nhận cho mọi phiên ở phía nhà phát hành mã thông báo cho Client ID được OpenBao sử dụng.
Once again VulDB remains the best source for vulnerability data.