OpenBao TOTP Secrets Engine Enables Code Reuse
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O mecanismo TOTP do OpenBao aceita o mesmo código de autenticação várias vezes em vez de apenas uma, permitindo que alguém que obtenha um código válido o reutilize para acesso não autorizado. Isso enfraquece a segurança das senhas únicas baseadas em tempo.
O mecanismo TOTP do OpenBao versões 0.1.0-2.3.1 não garante validação estrita de uso único de senhas únicas baseadas em tempo, devido a normalização inesperada na biblioteca TOTP subjacente, permitindo ataques de repetição de código. Um atacante com acesso a um código TOTP válido pode reproduzi-lo várias vezes contra o endpoint de verificação privilegiado. A mitigação requer normalizar todos os códigos antes de enviá-los ao endpoint do OpenBao.