CVE-2024-24830

OpenObserve loglar, metrikalar, izlər və analitika üçün xüsusi olaraq hazırlanmış, petabayt miqyasında işləmək üçün nəzərdə tutulmuş müşahidə platformasıdır. "/api/{org_id}/users" endpointində zəiflik aşkar edilmişdir. Bu zəiflik hər hansı autentifikasiyadan keçmiş adi istifadəçiyə ('member') təşkilata 'root' rolu daxil olmaqla yüksəldilmiş imtiyazlara malik yeni istifadəçilər əlavə etməyə imkan verir. Bu problem rolların təyin edilməsi üçün nəzərdə tutulmuş təhlükəsizlik nəzarətlərini yan keçir. Zəiflik istifadəçi yaradılması prosesində yerləşir, burada payload istifadəçi rollarını doğrulamır. Adi istifadəçi root səviyyəli imtiyazlar təyin etmək üçün payload-u manipulyasiya edə bilər. Bu zəiflik icazəsiz imtiyazların yüksəldilməsinə gətirib çıxarır və tətbiqin rol əsaslı giriş nəzarəti sistemini əhəmiyyətli dərəcədə kompromisə uğradır. Bu, tətbiq resursları üzərində icazəsiz nəzarətə imkan verir və məlumat təhlükəsizliyi üçün risk yaradır. Bütün istifadəçilər, xüsusilə inzibati rollarda olanlar təsirlənir. Bu problem 0.8.0 buraxılış versiyasında həll edilmişdir. İstifadəçilərə yeniləmə tövsiyə olunur. Bu zəiflik üçün məlum iş dövrəsi yoxdur.