CVE-2024-55954
Açıklama
OpenObserve, bulut tabanlı bir gözlemlenebilirlik platformudur. `/api/{org_id}/users/{email_id}` kullanıcı yönetimi uç noktasındaki bir güvenlik açığı, "Admin" rolündeki bir kullanıcının organizasyondan bir "Root" kullanıcıyı çıkarmasına olanak tanır. Bu durum, hedeflenen yetki hiyerarşisini ihlal ederek root olmayan bir kullanıcının en yüksek yetkili hesabı silmesine imkan verir. Yetersiz rol kontrolleri nedeniyle, `remove_user_from_org` fonksiyonu "Admin" kullanıcısının bir "Root" kullanıcıyı çıkarmasını engellememektedir. Sonuç olarak, "Admin" rolüne sahip bir saldırgan, kritik "Root" kullanıcıları çıkararak en yüksek yetkili hesapları ortadan kaldırıp potansiyel olarak tam kontrol sağlayabilir. `DELETE /api/{org_id}/users/{email_id}` uç noktası etkilenmektedir. Bu sorun `0.14.1` sürümünde giderilmiştir ve tüm kullanıcıların yükseltme yapmaları önerilir. Bu güvenlik açığı için bilinen bir geçici çözüm bulunmamaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| openobserve openobserve | < 0.14.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.