Gaby

**Nome do Software Vulnerável e Versões Afetadas** Versões do OpenObserve anteriores à 0.14.1 **Descrição** Uma vulnerabilidade no endpoint de gerenciamento de usuários `/api/{org id}/users/{email id}` permite que um usuário com a função "Admin" remova um usuário "Root" da organização, violando a hierarquia de privilégios pretendida. Isso ocorre devido a verificações de função insuficientes na função `remove user from org`, permitindo que um usuário não root remova a conta com maiores privilégios. Como resultado, um atacante com a função "Admin" pode remover usuários "Root" críticos, potencialmente obtendo controle total efetivo ao eliminar as contas com maiores privilégios. O endpoint `DELETE /api/{org id}/users/{email id}` é afetado. **Recomendações** Para versões do OpenObserve anteriores à 0.14.1, atualize para a versão 0.14.1 para corrigir o problema. Como solução temporária, considere restringir o acesso à função `remove user from org` ou ao endpoint `/api/{org id}/users/{email id}` para impedir que usuários "Admin" removam usuários "Root" até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas** Versões do pyrage 1.2.0 a 1.2.2 **Descrição** O problema diz respeito à execução de binários arbitrários devido a nomes de plug-ins, destinatários ou identidades maliciosos. Isso pode ocorrer quando um nome de plugin contendo um separador de caminho é fornecido à CLI `age` ou a determinadas APIs `age`, como `age::plugin::Identity::from str` ou `age::plugin::Recipient::from str`. O ataque requer que exista um diretório com o nome `age-plugin-*` no diretório de trabalho em sistemas UNIX. O binário é executado com um sinalizador específico e recebe a string do destinatário ou da identidade e outros dados como entrada padrão, seguindo o protocolo `age-plugin`. Um problema equivalente foi corrigido na implementação de referência em Go do `age`. **Recomendações** Para as versões 1.2.0 a 1.2.2 do pyrage, atualize para a versão 1.2.3 para resolver o problema. Como solução alternativa temporária, considere desativar o recurso de plug-in para minimizar o risco de exploração. Restrinja o acesso ao diretório `age-plugin-*` para impedir que o ataque seja bem-sucedido. Evite usar nomes de plug-ins que contenham separadores de caminho nas APIs `age` afetadas até que o problema seja resolvido. No momento, não há outras soluções alternativas conhecidas para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Fiber anteriores à 2.52.1 **Descrição** O problema está relacionado ao middleware CORS no Fiber, que permite configurações inseguras. Especificamente, ele permite definir o cabeçalho Access-Control-Allow-Origin como um curinga (`*`) enquanto também mantém o Access-Control-Allow-Credentials definido como true, o que vai contra as melhores práticas de segurança recomendadas. Essa configuração incorreta pode levar ao acesso não autorizado a dados confidenciais do usuário e expor o sistema a vários tipos de ataques. O impacto deste problema é alto. **Recomendações** Para versões do Fiber anteriores à 2.52.1, atualize para a versão 2.52.1 para resolver o problema. Para versões do Fiber anteriores à 2.52.1, como solução alternativa temporária, os usuários podem validar manualmente as configurações CORS em sua implementação para garantir que elas não permitam uma origem curinga quando as credenciais estiverem habilitadas.

**Nome do software vulnerável e versões afetadas** Versões do OpenObserve anteriores à 0.8.0 **Descrição** Foi identificada uma vulnerabilidade no endpoint “/api/{org id}/users”, permitindo que qualquer usuário comum autenticado adicione novos usuários com privilégios elevados, incluindo a função ‘root’, a uma organização. Este problema contorna os controles de segurança previstos para atribuições de funções, ocorrendo no processo de criação de usuários, onde a carga útil não valida as funções do usuário. Um usuário comum pode manipular a carga útil para atribuir privilégios de nível root, levando a uma escalada de privilégios não autorizada e comprometendo significativamente o sistema de controle de acesso baseado em funções do aplicativo. Isso representa um risco à segurança dos dados, afetando todos os usuários, particularmente aqueles em funções administrativas. **Recomendações** Para versões anteriores à 0.8.0, atualize para a versão 0.8.0 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao endpoint “/api/{org id}/users” para minimizar o risco de exploração. Evite usar os parâmetros `org id` e `users` no endpoint da API afetado até que o problema seja resolvido.

Nome do software vulnerável e versões afetadas: Versões do OpenObserve anteriores à 0.8.0 Descrição: Foi identificada uma falha crítica no endpoint “/api/{org id}/users/{email id}”, permitindo que qualquer usuário autenticado dentro de uma organização remova qualquer outro usuário, incluindo aqueles com as funções ‘Admin’ e “Root”, devido à falta de um controle de acesso adequado. Isso é causado pela função `remove user from org`, que não verifica se há privilégios administrativos adequados. O impacto é grave, comprometendo a integridade do gerenciamento de usuários e podendo levar a acesso não autorizado ao sistema, bloqueio administrativo ou interrupções operacionais. Recomendações: Para versões do OpenObserve anteriores à 0.8.0, atualize para a versão 0.8.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/{org id}/users/{email id}” ou desativar a função `remove user from org` até que a atualização possa ser aplicada.

**Name of the Vulnerable Software and Affected Versions** Fiber versions prior to 2.50.0 **Description** A Cross-Site Request Forgery (CSRF) vulnerability has been identified in the application, which allows an attacker to obtain tokens and forge malicious requests on behalf of a user. This can lead to unauthorized actions being taken on the user's behalf, potentially compromising the security and integrity of the application. The vulnerability is caused by improper validation and enforcement of CSRF tokens within the application, specifically due to the lack of token association with the original requestor. **Recommendations** For versions prior to 2.50.0, upgrade to version 2.50.0 or later to address the vulnerability. As a temporary workaround, consider implementing proper CSRF protection mechanisms, such as the Double Submit Cookie method or the Synchronizer Token Pattern using sessions. Additionally, users should take extra security measures like captchas or Two-Factor Authentication (2FA) and set Session cookies with SameSite=Lax or SameSite=Secure, and the Secure and HttpOnly attributes.