CVE-2024-25106

OpenObserve is a observability platform built specifically for logs, metrics, traces, analytics, designed to work at petabyte scale. A critical vulnerability has been identified in the "/api/{org_id}/users/{email_id}" endpoint. This vulnerability allows any authenticated user within an organization to remove any other user from that same organization, irrespective of their respective roles. This includes the ability to remove users with "Admin" and "Root" roles. By enabling any organizational member to unilaterally alter the user base, it opens the door to unauthorized access and can cause considerable disruptions in operations. The core of the vulnerability lies in the `remove_user_from_org` function in the user management system. This function is designed to allow organizational users to remove members from their organization. The function does not check if the user initiating the request has the appropriate administrative privileges to remove a user. Any user who is part of the organization, irrespective of their role, can remove any other user, including those with higher privileges. This vulnerability is categorized as an Authorization issue leading to Unauthorized User Removal. The impact is severe, as it compromises the integrity of user management within organizations. By exploiting this vulnerability, any user within an organization, without the need for administrative privileges, can remove critical users, including "Admins" and "Root" users. This could result in unauthorized system access, administrative lockout, or operational disruptions. Given that user accounts are typically created by "Admins" or "Root" users, this vulnerability can be exploited by any user who has been granted access to an organization, thereby posing a critical risk to the security and operational stability of the application. This issue has been addressed in release version 0.8.0. Users are advised to upgrade.
Configurations

Configuration 1 (hide)

cpe:2.3:a:openobserve:openobserve:*:*:*:*:*:*:*:*

History

21 Nov 2024, 09:00

Type Values Removed Values Added
CVSS v2 : unknown
v3 : 6.5
v2 : unknown
v3 : 9.1
References () https://github.com/openobserve/openobserve/security/advisories/GHSA-3m5f-9m66-xgp7 - Exploit, Third Party Advisory () https://github.com/openobserve/openobserve/security/advisories/GHSA-3m5f-9m66-xgp7 - Exploit, Third Party Advisory

15 Feb 2024, 18:53

Type Values Removed Values Added
First Time Openobserve openobserve
Openobserve
CPE cpe:2.3:a:openobserve:openobserve:*:*:*:*:*:*:*:*
CVSS v2 : unknown
v3 : 9.1
v2 : unknown
v3 : 6.5
Summary
  • (es) OpenObserve es una plataforma de observabilidad creada específicamente para registros, métricas, seguimientos y análisis, manipulada para funcionar a escala de petabytes. Se ha identificado una vulnerabilidad crítica en el endpoint "/api/{org_id}/users/{email_id}". Esta vulnerabilidad permite que cualquier usuario autenticado dentro de una organización elimine a cualquier otro usuario de esa misma organización, independientemente de sus respectivas funciones. Esto incluye la capacidad de eliminar usuarios con roles de "Administrador" y "Root". Al permitir que cualquier miembro de la organización altere unilateralmente la base de usuarios, se abre la puerta al acceso no autorizado y puede causar interrupciones considerables en las operaciones. El núcleo de la vulnerabilidad radica en la función `remove_user_from_org` en el sistema de gestión de usuarios. Esta función está manipulada para permitir a los usuarios de la organización eliminar miembros de su organización. La función no comprueba si el usuario que inicia la solicitud tiene los privilegios administrativos adecuados para eliminar un usuario. Cualquier usuario que forme parte de la organización, independientemente de su rol, puede eliminar a cualquier otro usuario, incluidos aquellos con mayores privilegios. Esta vulnerabilidad se clasifica como un problema de autorización que conduce a la eliminación de usuarios no autorizados. El impacto es grave, ya que compromete la integridad de la gestión de usuarios dentro de las organizaciones. Al explotar esta vulnerabilidad, cualquier usuario dentro de una organización, sin necesidad de privilegios administrativos, puede eliminar usuarios críticos, incluidos los usuarios "Admins" y "Root". Esto podría provocar un acceso no autorizado al sistema, un bloqueo administrativo o interrupciones operativas. Dado que las cuentas de usuario suelen ser creadas por "Admins" o usuarios "Root", esta vulnerabilidad puede ser explotada por cualquier usuario al que se le haya otorgado acceso a una organización, lo que representa un riesgo crítico para la seguridad y la estabilidad operativa de la aplicación. Este problema se solucionó en la versión 0.8.0. Se recomienda a los usuarios que actualicen.
References () https://github.com/openobserve/openobserve/security/advisories/GHSA-3m5f-9m66-xgp7 - () https://github.com/openobserve/openobserve/security/advisories/GHSA-3m5f-9m66-xgp7 - Exploit, Third Party Advisory

08 Feb 2024, 23:15

Type Values Removed Values Added
New CVE

Information

Published : 2024-02-08 23:15

Updated : 2024-11-21 09:00


NVD link : CVE-2024-25106

Mitre link : CVE-2024-25106

CVE.ORG link : CVE-2024-25106


JSON object : View

Products Affected

openobserve

  • openobserve
CWE
CWE-269

Improper Privilege Management

CWE-272

Least Privilege Violation

CWE-284

Improper Access Control

CWE-285

Improper Authorization

CWE-287

Improper Authentication