Autorización Inadecuada en OpenObserve Permite a un Usuario Administrador Eliminar al Usuario Root

La explotación de esta vulnerabilidad permite a un atacante con privilegios de 'Admin' eliminar cuentas de usuario 'Root' dentro de la organización OpenObserve. Al eliminar la cuenta 'Root', el atacante puede obtener un control efectivo sobre la plataforma, pudiendo modificar configuraciones, acceder a datos sensibles y comprometer la integridad del sistema. Esta situación es particularmente grave ya que la cuenta 'Root' suele tener los permisos más altos dentro de la plataforma, lo que amplía significativamente el radio de impacto de la vulnerabilidad. La falta de controles adecuados en la función removeuserfrom_org es la causa directa de este problema.

Organizations heavily reliant on OpenObserve for observability and monitoring are at significant risk. Specifically, deployments with poorly configured role-based access controls, where Admin accounts have excessive privileges, are particularly vulnerable. Shared hosting environments utilizing OpenObserve also face increased risk due to potential cross-tenant access issues.

• linux / server: Monitor OpenObserve API logs for requests to /api/{orgid}/users/{emailid} with the removeuserfrom_org function originating from users with the 'Admin' role. Look for unusual patterns or unexpected user removals.

journalctl -u openobserve -f | grep 'remove_user_from_org'

• generic web: Use curl to test the API endpoint /api/{orgid}/users/{emailid} with an Admin user's credentials to see if a Root user can be removed.

curl -X DELETE -H "Authorization: Bearer <admin_token>" https://<openobserve_url>/api/<org_id>/users/<root_email>

1. 2025-01-16Disclosure

   disclosure

1. Reservado2024-12-13
2. Publicada2025-01-16
3. Modificada2025-02-12
4. EPSS actualizado2026-04-02

La mitigación principal para esta vulnerabilidad es actualizar OpenObserve a la versión 0.14.1 o superior, donde se ha corregido el problema. Si la actualización inmediata no es posible, se recomienda revisar cuidadosamente los permisos de usuario y limitar el acceso a la función de administración de usuarios. Implementar una auditoría exhaustiva de los usuarios con privilegios de 'Admin' puede ayudar a identificar posibles cuentas comprometidas. Aunque no hay reglas WAF específicas disponibles, se puede implementar una regla que detecte solicitudes sospechosas al endpoint /api/{orgid}/users/{emailid} que intenten eliminar usuarios 'Root' desde cuentas que no sean 'Root'.