Veille sécuritéCloud & DevOps
P4Moyenne
Lors du renouvellement d’un jeton émis par la méthode d’authentification Kubernetes, OpenBao ne revérifie pas que le jeton de compte de service ayant servi à l’authentification est toujours valide. Un utilisateur authentifié peut ainsi prolonger l’accès après la suppression de ce compte de service.
Kubernetes
IdentifiantCVE-2026-115356
GravitéMoyenne
Exploitationnon connue / non déterminée
CorrectifOpenBao 2.6.4 ou 2.7.1, selon la branche
Source : NVD — CVE-2026-115356
Analyse technique
La vulnérabilité touche le renouvellement des jetons issus de l’authentification Kubernetes. Les versions correctives indiquées sont 2.6.4 et 2.7.1 pour leurs branches respectives.
Impact, versions et correctif
Événement datéRetenue car la publication CVE est datée du 2026-10-22, dans la période. L’avis GitHub consulté indique une publication antérieure ; il ne constitue pas, à lui seul, une nouveauté datée de la période.
ImpactPersistance d’accès après suppression du compte de service Kubernetes.
Versions affectéesOpenBao avant 2.6.4 ; branche 2.7.x avant 2.7.1
Version corrigéeOpenBao 2.6.4 ou 2.7.1, selon la branche
Exploitation activenon connue / non déterminée
PoC publicinconnu
Publication2026-10-22T19:17:41.677Z
Mise à jour2026-10-23T15:17:28.317Z
Action recommandée
Mettre à niveau vers OpenBao 2.6.4 ou 2.7.1, selon la branche utilisée.
Sources
Priorisation DFS : P4 · 1 source(s).