Gaby

Uma vulnerabilidade no endpoint de gerenciamento de usuários `/api/{org id}/users/{email id}` permite que um usuário com a função "Admin" remova um usuário "Root" da organização, violando a hierarquia de privilégios pretendida. Isso ocorre devido a verificações de função insuficientes na função `remove user from org`, permitindo que um usuário não root remova a conta com maiores privilégios. Como resultado, um atacante com a função "Admin" pode remover usuários "Root" críticos, potencialmente obtendo controle total efetivo ao eliminar as contas com maiores privilégios. O endpoint `DELETE /api/{org id}/users/{email id}` é afetado.

O problema diz respeito à execução de binários arbitrários devido a nomes de plug-ins, destinatários ou identidades maliciosos. Isso pode ocorrer quando um nome de plugin contendo um separador de caminho é fornecido à CLI `age` ou a determinadas APIs `age`, como `age::plugin::Identity::from str` ou `age::plugin::Recipient::from str`. O ataque requer que exista um diretório com o nome `age-plugin-*` no diretório de trabalho em sistemas UNIX. O binário é executado com um sinalizador específico e recebe a string do destinatário ou da identidade e outros dados como entrada padrão, seguindo o protocolo `age-plugin`. Um problema equivalente foi corrigido na implementação de referência em Go do `age`.

O problema está relacionado ao middleware CORS no Fiber, que permite configurações inseguras. Especificamente, ele permite definir o cabeçalho Access-Control-Allow-Origin como um curinga (`*`) enquanto também mantém o Access-Control-Allow-Credentials definido como true, o que vai contra as melhores práticas de segurança recomendadas. Essa configuração incorreta pode levar ao acesso não autorizado a dados confidenciais do usuário e expor o sistema a vários tipos de ataques. O impacto deste problema é alto.

Foi identificada uma vulnerabilidade no endpoint “/api/{org id}/users”, permitindo que qualquer usuário comum autenticado adicione novos usuários com privilégios elevados, incluindo a função ‘root’, a uma organização. Este problema contorna os controles de segurança previstos para atribuições de funções, ocorrendo no processo de criação de usuários, onde a carga útil não valida as funções do usuário. Um usuário comum pode manipular a carga útil para atribuir privilégios de nível root, levando a uma escalada de privilégios não autorizada e comprometendo significativamente o sistema de controle de acesso baseado em funções do aplicativo. Isso representa um risco à segurança dos dados, afetando todos os usuários, particularmente aqueles em funções administrativas.

Nome do software vulnerável e versões afetadas: Versões do OpenObserve anteriores à 0.8.0 Descrição: Foi identificada uma falha crítica no endpoint “/api/{org id}/users/{email id}”, permitindo que qualquer usuário autenticado dentro de uma organização remova qualquer outro usuário, incluindo aqueles com as funções ‘Admin’ e “Root”, devido à falta de um controle de acesso adequado. Isso é causado pela função `remove user from org`, que não verifica se há privilégios administrativos adequados. O impacto é grave, comprometendo a integridade do gerenciamento de usuários e podendo levar a acesso não autorizado ao sistema, bloqueio administrativo ou interrupções operacionais. Recomendações: Para versões do OpenObserve anteriores à 0.8.0, atualize para a versão 0.8.0 para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao endpoint “/api/{org id}/users/{email id}” ou desativar a função `remove user from org` até que a atualização possa ser aplicada.

A Cross-Site Request Forgery (CSRF) vulnerability has been identified in the application, which allows an attacker to obtain tokens and forge malicious requests on behalf of a user. This can lead to unauthorized actions being taken on the user's behalf, potentially compromising the security and integrity of the application. The vulnerability is caused by improper validation and enforcement of CSRF tokens within the application, specifically due to the lack of token association with the original requestor.