CVE-2024-25106: Remoción de Usuarios en OpenObserve

El impacto de esta vulnerabilidad es significativo, ya que permite a un atacante comprometer la administración de la plataforma OpenObserve. Un usuario malintencionado podría eliminar cuentas de administrador, obteniendo control total sobre la organización y sus datos. Esto podría resultar en la pérdida de datos, interrupción del servicio y acceso no autorizado a información sensible. La capacidad de eliminar usuarios con roles de Root amplifica el riesgo, ya que estos roles suelen tener los permisos más altos dentro de la plataforma. Esta vulnerabilidad se asemeja a escenarios donde la falta de controles de acceso adecuados permite la escalada de privilegios y la toma de control de sistemas.

Organizations utilizing OpenObserve for observability and monitoring are at risk, particularly those with multiple users and a reliance on the platform for critical operational insights. Environments with shared hosting configurations or those that have not implemented robust access control policies are especially vulnerable, as a compromised low-privilege account could be leveraged to gain complete control.

• linux / server:

journalctl -u openobserve -g "user removal"

• generic web:

curl -s -X DELETE "http://openobserve/api/{org_id}/users/{email_id}" | grep -i "success"

• generic web:

 grep -i "user removal" /var/log/nginx/access.log

1. 2024-02-08Disclosure

   disclosure

1. Reservado2024-02-05
2. Publicada2024-02-08
3. Modificada2024-08-01
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar OpenObserve a la versión 0.8.0 o superior, donde se ha corregido el problema. Si la actualización no es inmediatamente posible, se recomienda revisar y reforzar los controles de acceso dentro de la organización. Implementar la autenticación multifactor (MFA) para todos los usuarios, especialmente aquellos con roles de administrador, puede ayudar a prevenir el acceso no autorizado. Además, se debe auditar regularmente la actividad de los usuarios para detectar cualquier comportamiento sospechoso. Si se sospecha de una intrusión, se recomienda aislar la instancia de OpenObserve y realizar una investigación forense.