OpenObserve 不適切な認証により、管理者ユーザーがルートユーザーを削除可能

この脆弱性は、攻撃者がOpenObserveのAdminロールのユーザーアカウントを取得した場合に悪用される可能性があります。Adminロールのユーザーは、通常、組織内のユーザー管理タスクを実行する権限を持っていますが、この脆弱性により、Rootユーザーを削除することが可能になります。Rootユーザーは、OpenObserve組織内で最も高い権限を持つため、Rootユーザーを削除することで、攻撃者はOpenObserve環境全体を制御できるようになります。これにより、機密データの漏洩、システムの改ざん、サービス停止などの深刻な被害が発生する可能性があります。この脆弱性は、組織のセキュリティ体制を著しく損なう可能性があります。

Organizations heavily reliant on OpenObserve for observability and monitoring are at significant risk. Specifically, deployments with poorly configured role-based access controls, where Admin accounts have excessive privileges, are particularly vulnerable. Shared hosting environments utilizing OpenObserve also face increased risk due to potential cross-tenant access issues.

• linux / server: Monitor OpenObserve API logs for requests to /api/{orgid}/users/{emailid} with the removeuserfrom_org function originating from users with the 'Admin' role. Look for unusual patterns or unexpected user removals.

journalctl -u openobserve -f | grep 'remove_user_from_org'

• generic web: Use curl to test the API endpoint /api/{orgid}/users/{emailid} with an Admin user's credentials to see if a Root user can be removed.

curl -X DELETE -H "Authorization: Bearer <admin_token>" https://<openobserve_url>/api/<org_id>/users/<root_email>

1. 2025-01-16Disclosure

   disclosure

1. 予約済み2024-12-13
2. 公開日2025-01-16
3. 更新日2025-02-12
4. EPSS 更新日2026-04-02

OpenObserveのバージョンを0.14.1以降にアップグレードすることが、この脆弱性に対する最も効果的な対策です。アップグレードが困難な場合は、一時的な回避策として、AdminロールのユーザーがRootユーザーを削除できないように、OpenObserveのアクセス制御リスト（ACL）を厳格に設定することを検討してください。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるリクエストをブロックすることも有効です。OpenObserveのログを定期的に監視し、異常なアクティビティを検出することも重要です。アップグレード後、ユーザー管理機能が正常に動作することを確認してください。