CVE-2025-55000

OpenBao TOTP Secrets Engine Enables Code Reuse

CVSS 6.5 MEDIUMEPSS 0.2%CWE-156

Em resumo

O mecanismo TOTP do OpenBao aceita o mesmo código de autenticação várias vezes em vez de apenas uma, permitindo que alguém que obtenha um código válido o reutilize para acesso não autorizado. Isso enfraquece a segurança das senhas únicas baseadas em tempo.

Detalhe técnico

O mecanismo TOTP do OpenBao versões 0.1.0-2.3.1 não garante validação estrita de uso único de senhas únicas baseadas em tempo, devido a normalização inesperada na biblioteca TOTP subjacente, permitindo ataques de repetição de código. Um atacante com acesso a um código TOTP válido pode reproduzi-lo várias vezes contra o endpoint de verificação privilegiado. A mitigação requer normalizar todos os códigos antes de enviá-los ao endpoint do OpenBao.

Resumo gerado e traduzido por IA a partir da descrição oficial.

OpenBao exists to provide a software solution to manage, store, and distribute sensitive data including secrets, certificates, and keys. In versions 0.1.0 through 2.3.1, OpenBao's TOTP secrets engine could accept valid codes multiple times rather than strictly-once. This was caused by unexpected normalization in the underlying TOTP library. To work around, ensure that all codes are first normalized before submitting to the OpenBao endpoint. TOTP code verification is a privileged action; only trusted systems should be verifying codes.

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Produtos afetados

openbao · openbao

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →

Referências

https://discuss.hashicorp.com/t/hcsec-2025-17-vault-totp-secrets-engine-code-reuse/76036 https://github.com/openbao/openbao/commit/183891f8d535d5b6eb3d79fda8200cade6de99e1 https://github.com/openbao/openbao/security/advisories/GHSA-f7c3-mhj2-9pvg