OpenBao's cross-namespace lease revocation via legacy sys/revoke path bypasses ACL

CAO 7.1CVE-2026-45808 · BIT-openbao-2026-45808 · GHSA-v8v8-cm84-m686 · Công bố 07/08/2026 · cập nhật 09/09/2026

Tóm tắt nhanh

CVE-2026-45808 là lỗ hổng mức CAO (CVSS 7.1) ảnh hưởng github.com/openbao/openbao.
Xác suất bị khai thác trong 30 ngày tới (EPSS): 0.43%, cao hơn 37.0% các lỗ hổng khác.
Cách xử lý: cập nhật lên 2.5.4 hoặc mới hơn.

Gói / sản phẩm	Phiên bản bị ảnh hưởng	Phiên bản đã vá
github.com/openbao/openbao Go	`< 2.5.4mọi phiên bản`	`2.5.4`

Mô tả

Impact

OpenBao's namespaces provide multi-tenant separation. A tenant who intentionally leaks lease identifiers can have their lease and underlying credential revoked or renewed by a user in another tenant via the legacy, undocumented sys/revoke and sys/renew endpoints.

Patch

This will be addressed in v2.5.4.

Mô tả của NVD

OpenBao is an open source identity-based secrets management system. Prior to version 2.5.4, OpenBao's namespaces provide multi-tenant separation. A tenant who intentionally leaks lease identifiers can have their lease and underlying credential revoked or renewed by a user in another tenant via the legacy, undocumented `sys/revoke` and `sys/renew` endpoints. This is fixed in OpenBao v2.5.4.