Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidad en OpenBao (CVE-2025-54998)

Gravedad CVSS v3.1:
MEDIA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
09/08/2025
Última modificación:
12/08/2025

Descripción

OpenBao existe para proporcionar una solución de software que permite gestionar, almacenar y distribuir datos confidenciales, como secretos, certificados y claves. En las versiones 0.1.0 a 2.3.1, los atacantes podían eludir los mecanismos de bloqueo automático de usuarios en los sistemas de autenticación OpenBao Userpass o LDAP. Esto se debía a una asignación de alias diferente entre las atribuciones de alias de entidad de usuario de las solicitudes de inicio de sesión previas al vuelo y de inicio de sesión completo. Esto se solucionó en la versión 2.3.2. Para solucionar este problema, los usuarios pueden aplicar cuotas de limitación de velocidad en los endpoints de autenticación (consulte https://openbao.org/api-docs/system/rate-limit-quotas/).

Productos y versiones vulnerables

CPE Desde Hasta
cpe:2.3:a:openbao:openbao:*:*:*:*:*:*:*:* 0.1.0 (incluyendo) 2.3.2 (excluyendo)