PT-2024-28718 · Unknown+1 · Opensearch+1

Cwperks · Publicado 2024-07-09 · Atualizado 2024-09-20 · CVE-2024-39900

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do OpenSearch anteriores à 2.14

Descrição

Uma falha no plug-in de relatórios do OpenSearch permite o acesso não autorizado a recursos de locatários privados, como notebooks. O sistema não verificava adequadamente se o usuário era o autor do recurso ao acessar recursos em um locatário privado, o que pode levar à divulgação de dados. Isso pode levar usuários não autorizados a ler, modificar ou assumir a propriedade de recursos privados, afetando a confidencialidade e a integridade dos recursos de locatários privados.

Recomendações

Para versões anteriores à 2.14, atualize para o OpenSearch 2.14 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a recursos de locatários privados para minimizar o risco de exploração.

Exploit

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2024-39900

GHSA-XMVG-335G-X44Q

Produtos afetados

Opensearch

Red Os

Referências · 12

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39900.json · Exploit
• https://github.com/opensearch-project/reporting/commit/2403014c57ee63268e83d919db3334b676a8c992 · Correção
• https://github.com/opensearch-project/reporting · Nota
• https://github.com/opensearch-project/reporting/security/advisories/GHSA-xmvg-335g-x44q · Nota
• https://osv.dev/vulnerability/CVE-2024-39900 · Aviso do Fabricante
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-opensearch-cve-2024-39901-cve-2024-39900 · Nota
• https://osv.dev/vulnerability/GHSA-xmvg-335g-x44q · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-39900 · Nota de Segurança
• https://opensearch.org/versions/opensearch-2-14-0.html · Nota
• https://t.me/cvenotify/95410 · Publicação no Telegram
• https://t.me/cvedetector/478 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1810944948986073153 · Publicação no Twitter