CVE-2026-39361
WysokieCVSS 7.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
OpenObserve to platforma obserwowalności chmurowej. W wersji 0.70.3 i wcześniejszych funkcja validate_enrichment_url w pliku src/handler/http/request/enrichment_table/mod.rs nie blokuje adresów IPv6, ponieważ biblioteka url w Rust zwraca je z nawiasami (np. "[::1]" zamiast "::1"). Uwierzytelniony atakujący może dotrzeć do wewnętrznych usług zablokowanych dla dostępu z zewnątrz. W środowiskach chmurowych umożliwia to pobranie danych uwierzytelniających IAM przez AWS IMDSv1 (169.254.169.254), metadane GCP lub Azure IMDS. W instalacjach lokalnych pozwala na skanowanie wewnętrznych usług sieciowych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych wewnętrznych usług, w tym do metadanych chmurowych, co może prowadzić do kradzieży danych uwierzytelniających i dalszej kompromitacji infrastruktury.
Rekomendacja
Należy zaktualizować OpenObserve do wersji 0.70.4 lub nowszej. W międzyczasie zaleca się ograniczenie dostępu do API dla uwierzytelnionych użytkowników.
Inne podatności w OpenObserve
Zobacz wszystkie- CVE-2026-63645Wysokie
OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.
- CVE-2025-66223Wysokie
OpenObserve przed wersją 0.16.0 nie wygasza tokenów zaproszeń do organizacji, które pozostają ważne nawet po usunięciu zaproszonego użytkownika i pozwalają na wiele zaproszeń na ten sam e-mail z różnymi rolami. Prowadzi to do złamania kontroli dostępu, gdzie usunięty lub zdegradowany użytkownik może odzyskać dostęp lub eskalować uprawnienia. Problem naprawiono w wersji 0.16.0.
- CVE-2025-64744Niskie
OpenObserve w wersjach do 0.16.1 włącznie renderuje znaczniki HTML w nazwie organizacji wewnątrz szablonu e-maila z zaproszeniem, co wskazuje na brak prawidłowego escapowania danych kontrolowanych przez użytkownika. W momencie publikacji nie są dostępne żadne wersje z poprawką.
Oryginalny opis (angielski, źródło NVD)
OpenObserve is a cloud-native observability platform. In 0.70.3 and earlier, the validate_enrichment_url function in src/handler/http/request/enrichment_table/mod.rs fails to block IPv6 addresses because Rust's url crate returns them with surrounding brackets (e.g. "[::1]" not "::1"). An authenticated attacker can reach internal services blocked from external access. On cloud deployments this enables retrieval of IAM credentials via AWS IMDSv1 (169.254.169.254), GCP metadata, or Azure IMDS. On self-hosted deployments it allows probing internal network services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS