秘密管理ツール「OpenBao」に脆弱性 - 任意のコード実行が可能に

「HashiCorp Vault」よりフォークしたオープンソースのシークレット管理ツール「OpenBao」に脆弱性が明らかとなった。脆弱性を修正したアップデートが提供されている。

特権APIの利用者において、システム管理者の権限を持たない場合も任意のコードを実行できる脆弱性「CVE-2025-54997」が明らかとなったもの。

システムの利用履歴や設定変更を記録するサブシステムにおいて、特権API利用者が任意のTCP接続やファイルシステムへの書き込みを行える状態となっており、攻撃者が制御するログプレフィックスを悪用することでコードの実行が可能となる。

共通脆弱性評価システム「CVSSv3.1」のベーススコアは「9.1」と評価されており、重要度は「クリティカル（Critical）」とレーティングされている。

脆弱性の判明を受けて、開発チームでは現地時間8月6日に「同2.3.2」を公開し、同脆弱性を解消した。あわせて緩和策がアナウンスされている。

同問題については、HashiCorpに対しても開示され、「HashiCorp Vault」では、「CVE-2025-6000」が採番され、対策が講じられた。

（Security NEXT - 2025/08/12 ）ツイート