Podatności OpenObserve

OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.

OpenObserve to platforma obserwowalności chmurowej. W wersji 0.70.3 i wcześniejszych funkcja validate_enrichment_url w pliku src/handler/http/request/enrichment_table/mod.rs nie blokuje adresów IPv6, ponieważ biblioteka url w Rust zwraca je z nawiasami (np. "[::1]" zamiast "::1"). Uwierzytelniony atakujący może dotrzeć do wewnętrznych usług zablokowanych dla dostępu z zewnątrz. W środowiskach chmurowych umożliwia to pobranie danych uwierzytelniających IAM przez AWS IMDSv1 (169.254.169.254), metadane GCP lub Azure IMDS. W instalacjach lokalnych pozwala na skanowanie wewnętrznych usług sieciowych.

OpenObserve przed wersją 0.16.0 nie wygasza tokenów zaproszeń do organizacji, które pozostają ważne nawet po usunięciu zaproszonego użytkownika i pozwalają na wiele zaproszeń na ten sam e-mail z różnymi rolami. Prowadzi to do złamania kontroli dostępu, gdzie usunięty lub zdegradowany użytkownik może odzyskać dostęp lub eskalować uprawnienia. Problem naprawiono w wersji 0.16.0.

OpenObserve w wersjach do 0.16.1 włącznie renderuje znaczniki HTML w nazwie organizacji wewnątrz szablonu e-maila z zaproszeniem, co wskazuje na brak prawidłowego escapowania danych kontrolowanych przez użytkownika. W momencie publikacji nie są dostępne żadne wersje z poprawką.