PT-2024-28719 · Unknown+1 · Opensearch+1

Cwperks · Publicado 2024-07-09 · Atualizado 2024-09-20 · CVE-2024-39901

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.2

Média

Vetor base

AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Versões do OpenSearch anteriores à 2.14

Descrição

Uma falha nos plug-ins de observabilidade do OpenSearch permite o acesso não autorizado a recursos de locatários privados, como notebooks. O sistema não verificava adequadamente se o usuário era o autor do recurso ao acessar recursos em um locatário privado, levando à possível divulgação de dados. Essa falta de validação adequada do controle de acesso pode levar ao acesso não autorizado a dados, em que usuários autorizados podem obter visibilidade indevida de dados destinados a serem privados de outros usuários dentro da mesma instância do OpenSearch.

Recomendações

Para versões anteriores à 2.14, atualize para o OpenSearch 2.14 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso a recursos de locatários privados para minimizar o risco de exploração. Evite compartilhar IDs de recursos de locatários privados, como IDs de notebooks, com usuários não autorizados para impedir o acesso potencial aos dados.

Exploit

Correção

Improper Authorization

IDOR

Enumeração de Fraquezas

CWE-285

CWE-639

Identificadores relacionados

CVE-2024-39901

GHSA-77VC-RJ32-2R33

Produtos afetados

Opensearch

Red Os

Referências · 13

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/39xxx/CVE-2024-39901.json · Exploit
• https://github.com/opensearch-project/observability/commit/014423178f8f61d90442dde03cbdcd754c70a84e · Correção
• https://github.com/opensearch-project/observability · Nota
• https://github.com/opensearch-project/observability/security/advisories/GHSA-77vc-rj32-2r33 · Nota
• https://osv.dev/vulnerability/CVE-2024-39901 · Aviso do Fabricante
• https://opensearch.org/versions/opensearch-2-14-0.html · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2024-39901 · Nota de Segurança
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-opensearch-cve-2024-39901-cve-2024-39900 · Nota
• https://t.me/cvenotify/95406 · Publicação no Telegram
• https://t.me/cvedetector/477 · Publicação no Telegram
• https://twitter.com/CVEnew/status/1810944950277906636 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-77vc-rj32-2r33 · Aviso do Fabricante
• https://t.me/cvenotify/86621 · Publicação no Telegram