CVE-2026-63645
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
OpenObserve przed wersją 0.90.3 udostępnia endpoint /config/runtime bez uwierzytelnienia, co pozwala nieuwierzytelnionemu klientowi sieciowemu na odczyt pełnej konfiguracji serwera. Filtr hide_sensitive_fields nie rozpoznaje pól dsn ani creds, przez co mogą zostać ujawnione dane dostępowe do baz danych, adres e-mail administratora oraz inne szczegóły wdrożenia. Problem został naprawiony w wersji 0.90.3.
Ocena ryzyka
Organizacja narażona jest na wyciek wrażliwych danych, takich jak poświadczenia baz danych i informacje o infrastrukturze, co może umożliwić dalsze ataki. Nieuwierzytelniony dostęp do konfiguracji może prowadzić do naruszenia poufności i integralności systemu.
Rekomendacja
Należy natychmiast zaktualizować OpenObserve do wersji 0.90.3 lub nowszej. Dodatkowo warto ograniczyć dostęp do endpointu /config/runtime za pomocą reguł firewall lub uwierzytelniania.
Inne podatności w OpenObserve
Zobacz wszystkie- CVE-2026-39361Wysokie
OpenObserve to platforma obserwowalności chmurowej. W wersji 0.70.3 i wcześniejszych funkcja validate_enrichment_url w pliku src/handler/http/request/enrichment_table/mod.rs nie blokuje adresów IPv6, ponieważ biblioteka url w Rust zwraca je z nawiasami (np. "[::1]" zamiast "::1"). Uwierzytelniony atakujący może dotrzeć do wewnętrznych usług zablokowanych dla dostępu z zewnątrz. W środowiskach chmurowych umożliwia to pobranie danych uwierzytelniających IAM przez AWS IMDSv1 (169.254.169.254), metadane GCP lub Azure IMDS. W instalacjach lokalnych pozwala na skanowanie wewnętrznych usług sieciowych.
- CVE-2025-66223Wysokie
OpenObserve przed wersją 0.16.0 nie wygasza tokenów zaproszeń do organizacji, które pozostają ważne nawet po usunięciu zaproszonego użytkownika i pozwalają na wiele zaproszeń na ten sam e-mail z różnymi rolami. Prowadzi to do złamania kontroli dostępu, gdzie usunięty lub zdegradowany użytkownik może odzyskać dostęp lub eskalować uprawnienia. Problem naprawiono w wersji 0.16.0.
Oryginalny opis (angielski, źródło NVD)
OpenObserve is a cloud-native observability platform. Prior to 0.90.3, OpenObserve registers the /config/runtime endpoint without authentication and serializes the complete server configuration after applying the hide_sensitive_fields keyword filter. The filter does not recognize dsn or creds field names, so meta_postgres_dsn, meta_postgres_ro_dsn, meta_ddl_dsn, and usage_reporting_creds can be returned in plaintext to an unauthenticated network client. PostgreSQL deployments can expose database credentials, and the same response can disclose the root administrator email address, internal NATS address, filesystem layout, and other deployment details. This issue is fixed in version 0.90.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS