PT-2022-26137 · Opensearch · Opensearch Notifications Plugin

Cehenkle · Publicado 2022-11-11 · Atualizado 2023-07-26 · CVE-2022-41906

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.7

Alta

Vetor base

AV:N/AC:H/PR:L/UI:R/S:C/C:H/I:H/A:N

Nome do software vulnerável e versões afetadas

Plugin OpenSearch Notifications, versões 2.0.0 a 2.2.0

Descrição

Uma possível vulnerabilidade do tipo Server-Side Request Forgery (SSRF) no plugin OpenSearch Notifications poderia permitir que um usuário com privilégios já existente enumerasse serviços em escuta ou interagisse com recursos configurados por meio de solicitações HTTP, excedendo o escopo pretendido do plugin. A vulnerabilidade afeta a capacidade do plugin de enviar notificações por meio de vários canais, incluindo e-mail, Slack, Amazon Chime e webhook personalizado.

Recomendações

Para as versões 2.0.0 a 2.2.0 do OpenSearch Notifications Plugin, atualize para o OpenSearch 2.2.1 ou posterior para resolver o problema.

No momento, não há informações sobre outras soluções alternativas para essa vulnerabilidade.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2022-41906

GHSA-PFC4-3436-JGRW

Produtos afetados

Opensearch Notifications Plugin

Referências · 9

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/41xxx/CVE-2022-41906.json · Exploit
• https://github.com/opensearch-project/notifications/pull/507 · Correção
• https://github.com/opensearch-project/notifications/security/advisories/GHSA-pfc4-3436-jgrw · Nota
• https://github.com/opensearch-project/notifications/pull/496 · Correção
• https://t.me/cvenotify/37554 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-41906 · Nota de Segurança
• https://t.me/cvenotify/55152 · Publicação no Telegram
• https://t.me/cibsecurity/52876 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-41906 · Aviso do Fabricante