CVE-2025-52893Средний
ANC
ANC
Коррекции базы Anchore
Дополнительная лента, накладываемая поверх upstream-источников. Мейнтейнеры Anchore публикуют корректирующие записи, чтобы подавить известные ложные срабатывания и восполнить пробелы в CPE/PURL, из-за которых Grype и аналогичные сканеры могут некорректно оценить систему.
Регион
США
Обновления
6 ч
Лицензия
Apache-2.0
Выверенные коррекции базы уязвимостей Anchore/Grype: подавление ложных срабатываний, недостающие привязки CPE и дистрибутив-специфичные бэкпорты исправлений.
https://github.com/anchore/grype-db →Поделиться ссылкой
Любой, у кого есть ссылка, сможет открыть эту уязвимость.
OpenBao существует для предоставления программного решения для управления, хранения и распространения конфиденциальных данных, включая секр…
CVSS
4.5
Средний
EPSS
0.00
p19
Опубликовано
2025-01-01
Обновлено
2025-01-01
Описание
OpenBao существует для предоставления программного решения для управления, хранения и распространения конфиденциальных данных, включая секреты, сертификаты и ключи. OpenBao перед v2.3.0 может утечка конфиденциальной информации в журналах при обработке неправильно сформированных данных. Это отдельно от более раннего HCSEC-2025-09 / CVE-2025-4166. Эта проблема была исправлена в OpenBao v2.3.0 и позже. Как и в случае с HCSEC-2025-09, нет никакого известного обходного движения, кроме как для обеспечения правильно отформатированных запросов от всех клиентов.
Теги · CWE
CWE-532
CWE-532БазаНеполный
Запись конфиденциальных сведений в файл журнала
Продукт записывает конфиденциальные сведения в файл журнала.
https://cwe.mitre.org/data/definitions/532.html →Открыть в коллекции CWE →CAPEC-215
CAPEC-215ДетальныйЧерновик
Фаззинг для картирования приложения
Злоумышленник направляет случайные, некорректные или иным образом неожиданные сообщения целевому приложению и наблюдает за возвращаемыми журналами или сообщениями об ошибках приложения. Злоумышленник изначально не знает, как цель реагирует на отдельные сообщения, однако, перебирая большое количество вариантов сообщений, он может найти вариант, вызывающий желаемое поведение. В данной атаке целью фаззинга является наблюдение за журналом и сообщениями об ошибках приложения, хотя фаззинг цели иногда также может приводить к переходу цели в нестабильное состояние и её аварийному завершению.
https://capec.mitre.org/data/definitions/215.html →Открыть в коллекции CAPEC →Затронутые продукты
Openbao < 2.3.0
Вектор CVSS
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:N/A:N
Хронология
2025-01-01
Опубликована
2025-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: L
Низкая (L)
Требуемые привилегии
PR: H
Высокие (H)
Взаимодействие с пользователем
UI: R
Требуется (R)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: H
Высокое (H)
Воздействие на целостность
I: N
Отсутствует (N)
Воздействие на доступность
A: N
Отсутствует (N)
Индикаторы эксплуатации
EPSS
0.003 · p19
Известна эксплуатация (KEV)
Нет
Проверки Сканер-ВС
Проверок Сканер-ВС для этой уязвимости в базе пока нет.
Затронутые продукты
| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| Отслеживается | ||
| golang-github-go-viper-mapstructure | Отслеживается | |
| openbao | Отслеживается | |
| openbao | * | Отслеживается |
Источники данных
ANC
ANC
Коррекции базы Anchore
Дополнительная лента, накладываемая поверх upstream-источников. Мейнтейнеры Anchore публикуют корректирующие записи, чтобы подавить известные ложные срабатывания и восполнить пробелы в CPE/PURL, из-за которых Grype и аналогичные сканеры могут некорректно оценить систему.
Регион
США
Обновления
6 ч
Лицензия
Apache-2.0
Выверенные коррекции базы уязвимостей Anchore/Grype: подавление ложных срабатываний, недостающие привязки CPE и дистрибутив-специфичные бэкпорты исправлений.
https://github.com/anchore/grype-db →DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →CVE
CVE
Национальная база данных уязвимостей США
NVD — репозиторий данных об управлении уязвимостями правительства США, построенный поверх списка CVE от MITRE. Каждая запись содержит утверждения применимости CPE, базовые оценки CVSS v2 и v3.x, сопоставление с CWE и перекрёстные ссылки на бюллетени.
Регион
США
Обновления
15 мин
Лицензия
Общественное достояние
Полный каталог публично раскрытых уязвимостей с привязкой к CPE, оценками CVSS и ссылками на первоисточники. Де-факто стандарт для кросс-вендорной корреляции.
https://nvd.nist.gov →UBU
UBU
Бюллетени безопасности Ubuntu (USN)
USN являются авторитетным источником для систем Ubuntu. CVE Tracker связывает каждую уязвимость со статусом по релизам (needed, released, not-affected) и с конкретной ошибкой в Launchpad, в которой интегрировано исправление.
Регион
Международно
Обновления
1 ч
Лицензия
CC BY-SA 3.0
Бюллетени безопасности для LTS- и промежуточных релизов Ubuntu: пакеты main, universe и (через Ubuntu Pro) ESM-расширенные.
https://ubuntu.com/security/notices →Внешние ссылки
https://discuss.hashicorp.com/t/hcsec-2025-09-vault-may-expose-sensitive-information-in-error-logs-when-processing-malformed-data-with-the-kv-v2-plugin/74717@https://github.com/go-viper/mapstructure/commit/ed3f92181528ff776a0324107b8b55026e93766a@https://github.com/go-viper/mapstructure/pull/105@https://github.com/go-viper/mapstructure/releases/tag/v2.3.0@https://github.com/openbao/openbao/commit/cf5e920badbf96b41253534a3fd5ff5063bf4b30@https://github.com/openbao/openbao/security/advisories/GHSA-8f5r-8cmq-7fmqhttps://www.cve.org/CVERecord?id=CVE-2025-52893@https://discuss.hashicorp.com/t/hcsec-2025-09-vault-may-expose-sensitive-information-in-error-logs-when-processing-malformed-data-with-the-kv-v2-plugin/74717@https://github.com/go-viper/mapstructure/commit/ed3f92181528ff776a0324107b8b55026e93766a@https://github.com/go-viper/mapstructure/pull/105@https://github.com/go-viper/mapstructure/releases/tag/v2.3.0@https://github.com/openbao/openbao/commit/cf5e920badbf96b41253534a3fd5ff5063bf4b30@https://github.com/openbao/openbao/security/advisories/GHSA-8f5r-8cmq-7fmq