PT-2022-23078 · Unknown · Opensearch Security+2
Peternied
·
Publicado
2022-08-12
·
Atualizado
2022-08-16
·
CVE-2022-35980
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N |
Nome do software vulnerável e versões afetadas
OpenSearch Security, versões 2.0.0.0 a 2.1.0.0
Descrição
O problema diz respeito a uma vulnerabilidade de divulgação de informações no OpenSearch Security, um plug-in para o OpenSearch que fornece criptografia, autenticação e autorização. Quando um cluster do OpenSearch é configurado com recursos avançados de controle de acesso, como segurança no nível do documento (DLS), segurança no nível do campo (FLS) e/ou mascaramento de campos, as solicitações não serão filtradas se o padrão de pesquisa da consulta corresponder a um índice com alias. Como o OpenSearch Dashboards cria um alias para
.kibana por padrão, filtros com o padrão de índice * para restringir o acesso a documentos ou campos não serão aplicados, permitindo que solicitações acessem informações confidenciais apesar das restrições de acesso.Recomendações
Para as versões 2.0.0.0 e 2.1.0.0, atualize para o OpenSearch Security 2.2.0.0, que é compatível com o OpenSearch 2.2.0 e contém a correção para este problema.
Como solução alternativa temporária, considere restringir o acesso ao alias
.kibana para minimizar o risco de exploração.Evite usar o padrão de índice
* em filtros para restringir o acesso a documentos ou campos até que o problema seja resolvido.Exploit
Correção
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Opensearch
Opensearch Dashboards
Opensearch Security