🇰🇷 한글 설명
OpenObserve 0.16.1 이하 버전에서 조직 생성 또는 이름 변경 시 HTML 태그가 포함된 이름을 사용하면 초대 이메일에 해당 마크업이 그대로 렌더링되는 취약점이 있습니다. 이는 사용자 입력값이 적절한 HTML 이스케이프 처리 없이 이메일 템플릿에 삽입되어 발생하는 문제입니다.
💡 쉬운 설명
조직 이름을 만들 때 특수 기호를 섞어 넣으면 이메일 내용이 깨지거나 의도치 않은 코드가 실행될 수 있는 문제입니다. 이메일 초대장에 악성 코드가 숨겨져 전달될 위험이 있습니다.
🇺🇸 원문 (English)
OpenObserve is a cloud-native observability platform. In versions up to and including 0.16.1, when creating or renaming an organization with HTML in the name, the markup is rendered inside the invitation email. This indicates that user-controlled input is inserted into the email template without proper HTML escaping. As of time of publication, no patched versions are available.
📍 영향받는 시스템
OpenObserve 0.16.1 및 그 이하 모든 버전
⚔️ 공격 벡터
조직 이름에 HTML 태그를 삽입하여 초대 이메일 내에서 악성 스크립트가 실행되도록 유도
🛡️ 대응 방법
현재 패치가 제공되지 않으므로 조직 이름 생성 시 HTML 특수 문자를 사용하지 않도록 주의하고 향후 보안 패치를 적용해야 함
🔧 검증 코드
출력된 버전 정보가 0.16.1 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<target-ip>:<port>/version | grep -E '0\.(1[0-6]|\d+)'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:L/A:N
💻 영향받는 소프트웨어
VMware Telco Cloud Platform