PT-2024-20597 · Unknown · Openobserve
Gaby
·
Publicado
2024-02-08
·
Atualizado
2025-08-27
·
CVE-2024-24830
CVSS v3.1
9.9
Crítica
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Versões do OpenObserve anteriores à 0.8.0
Descrição
Foi identificada uma vulnerabilidade no endpoint “/api/{org id}/users”, permitindo que qualquer usuário comum autenticado adicione novos usuários com privilégios elevados, incluindo a função ‘root’, a uma organização. Este problema contorna os controles de segurança previstos para atribuições de funções, ocorrendo no processo de criação de usuários, onde a carga útil não valida as funções do usuário. Um usuário comum pode manipular a carga útil para atribuir privilégios de nível root, levando a uma escalada de privilégios não autorizada e comprometendo significativamente o sistema de controle de acesso baseado em funções do aplicativo. Isso representa um risco à segurança dos dados, afetando todos os usuários, particularmente aqueles em funções administrativas.
Recomendações
Para versões anteriores à 0.8.0, atualize para a versão 0.8.0 para corrigir a vulnerabilidade. Como solução temporária, considere restringir o acesso ao endpoint “/api/{org id}/users” para minimizar o risco de exploração. Evite usar os parâmetros
org id e users no endpoint da API afetado até que o problema seja resolvido.Exploit
Correção
LPE
Improper Privilege Management
Improper Authorization
Improper Access Control
Improper Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Openobserve