#OpenBao

VaultとOpenBaoに同じ欠陥 Raftのスナップショットでコード実行

秘密の情報を管理するHashiCorp Vaultと、その派生のOpenBaoに、同じ根の欠陥が見つかり修正版が出ています。Raftのスナップショットの復元を使ったコードの実行、ACLの拒否のすり抜け、ACMEの証明書の確認の漏れなどです。OpenBaoの残りの勧告にも、10月22日にCVEの番号が付きました。上げる前に設定の書き直しが要る点も含めて整理します。