CVE-2024-55954

إصدارات OpenObserve الأقدم من 0.14.1

تسمح ثغرة أمنية في نقطة نهاية إدارة المستخدمين /api/{org id}/users/{email id} لمستخدم يحمل دور ”Admin“ بإزالة مستخدم ”Root“ من المؤسسة، مما ينتهك التسلسل الهرمي المقصود للامتيازات. يحدث ذلك بسبب عدم كفاية عمليات التحقق من الدور في الوظيفة remove user from org، مما يسمح لمستخدم غير ”Root“ بإزالة الحساب الذي يتمتع بامتيازات أعلى. ونتيجة لذلك، يمكن للمهاجم الذي يحمل دور ’Admin‘ إزالة مستخدمي ”Root“ المهمين، مما قد يمنحه سيطرة كاملة فعليّة من خلال إزالة الحسابات ذات الامتيازات الأعلى. تتأثر نقطة النهاية DELETE /api/{org id}/users/{email id}.

بالنسبة لإصدارات OpenObserve الأقدم من 0.14.1، قم بالتحديث إلى الإصدار 0.14.1 لإصلاح المشكلة. كحل مؤقت، يُنصح بتقييد الوصول إلى الوظيفة remove user from org أو نقطة النهاية /api/{org id}/users/{email id} لمنع المستخدمين من فئة «Admin» من إزالة المستخدمين من فئة «Root» حتى يتم تطبيق التحديث.