JVNDB-2026-012601

OpenBaoにおける証明書検証に関する脆弱性

OpenBaoはオープンソースのアイデンティティベースのシークレット管理システムです。バージョン2.5.3以前のOpenBaoにおける証明書認証方法では、トークンの更新が要求され、`disable_binding=true`が設定されている場合、現在のリクエストで提示されたmTLS証明書が元の証明書と一致するかどうかを検証します。他の認証方法のトークン更新には、提供されたログイン情報は必要ありません。誤った一致により、証明書認証方法は攻撃者が同じCAにより署名された兄弟証明書とキーを持っている場合に、元のロールや元々提供された証明書と必ずしも一致しないトークンの更新を許可してしまいます。これは、攻撃者が同様の権限でOpenBaoに認証できる可能性があることを意味し、トークンの更新によって攻撃者は元のトークンが保持する動的リースの有効期限を延長できる可能性があることを示しています。この攻撃には元のトークンまたはそのアクセサーの知識が必要です。この脆弱性はHashiCorp Vaultに由来し、バージョン2.5.3で対処されています。暫定対策としては、特権ロールを単一の証明書に厳密に限定することが推奨されます。

OpenBao

• OpenBao 2.5.3 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : OpenBao's Certificate Authentication Allows Token Renewal With Different Certificate  Advisory  openbao/openbao  GitHub

1. 不正な証明書検証(CWE-295) [その他]

1. CVE-2026-39388

1. National Vulnerability Database (NVD) : CVE-2026-39388

• [2026年04月27日]
    掲載