OpenObserve 在 validate_enrichment_url 中存在 SSRF 保护绕过漏洞，通过 IPv6 方括号表示法

此 SSRF 漏洞的影响非常严重，尤其是在云环境中。攻击者可以利用此漏洞绕过网络隔离，访问内部服务和敏感数据。例如，在 AWS 环境中，攻击者可以通过访问 AWS IMDSv1 来获取 IAM 凭证，从而完全控制云环境。在自托管环境中，攻击者可以探测内部网络服务，并可能发现其他漏洞。由于 OpenObserve 通常用于监控和收集敏感数据，因此此漏洞可能导致数据泄露和系统入侵。该漏洞的潜在影响类似于其他已知的 SSRF 漏洞，例如允许攻击者访问内部 API 或数据库。

Organizations utilizing OpenObserve in cloud environments, particularly those relying on AWS, GCP, or Azure for their infrastructure, are at significant risk. Self-hosted deployments are also vulnerable, especially if they expose internal services accessible from the OpenObserve instance. Teams using OpenObserve for sensitive data monitoring should prioritize remediation.

• linux / server:

journalctl -u openobserve -g 'enrichment_url' | grep -i error

• generic web:

curl -I <openobserve_url>/api/v1/enrichment_table | grep -i '169.254.169.254'

• generic web: Check OpenObserve access logs for requests to internal metadata endpoints (e.g., 169.254.169.254, [::1]).

1. 2026-04-07Disclosure

   disclosure

1. 已保留2026-04-06
2. 发布日期2026-04-07
3. 修改日期2026-04-09
4. EPSS 更新日期2026-04-15

最有效的缓解措施是立即升级至 OpenObserve 0.70.4 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，配置网络防火墙以阻止对 OpenObserve 实例的 IPv6 流量。其次，限制 OpenObserve 实例的访问权限，使其只能访问必要的内部服务。第三，实施严格的身份验证和授权控制，以防止未经授权的访问。如果升级导致问题，请尝试回滚到之前的版本，并联系 OpenObserve 支持寻求帮助。此外，可以考虑使用 Web 应用防火墙 (WAF) 来检测和阻止 SSRF 攻击。监控 OpenObserve 日志，查找可疑的 IPv6 地址访问尝试。