CVE-2026-33757
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
OpenBao przed wersją 2.5.2 nie wymaga potwierdzenia użytkownika podczas logowania przez JWT/OIDC z rolą ustawioną na `callback_mode=direct`. Pozwala to atakującemu na zdalny phishing poprzez nakłonienie ofiary do odwiedzenia URL i automatyczne zalogowanie jej do sesji atakującego.
Ocena ryzyka
Ryzyko polega na możliwości przejęcia sesji OpenBao przez atakującego bez wiedzy ofiary, co może prowadzić do nieautoryzowanego dostępu do zarządzanych sekretów i wrażliwych danych w organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację OpenBao do wersji 2.5.2 lub nowszej. Jako tymczasowe obejście należy usunąć wszystkie role z `callback_mode=direct` lub wymusić potwierdzenie każdej sesji po stronie wystawcy tokena dla identyfikatora klienta używanego przez OpenBao.
Oryginalny opis (angielski, źródło NVD)
OpenBao is an open source identity-based secrets management system. Prior to version 2.5.2, OpenBao does not prompt for user confirmation when logging in via JWT/OIDC and a role with `callback_mode` set to `direct`. This allows an attacker to start an authentication request and perform "remote phishing" by having the victim visit the URL and automatically log-in to the session of the attacker. Despite being based on the authorization code flow, the `direct` mode calls back directly to the API and allows an attacker to poll for an OpenBao token until it is issued. Version 2.5.2 includes an additional confirmation screen for `direct` type logins that requires manual user interaction in order to finish the authentication. This issue can be worked around either by removing any roles with `callback_mode=direct` or enforcing confirmation for every session on the token issuer side for the Client ID used by OpenBao.