🇰🇷 한글 설명
OpenObserve 0.16.0 미만 버전에서 조직 초대 토큰이 만료되지 않고, 사용자가 삭제된 후에도 유효하게 유지되는 취약점이 발견되었습니다. 이로 인해 삭제되거나 권한이 강등된 사용자가 초대 링크를 통해 다시 접근하거나 권한을 상승시킬 수 있는 접근 제어 결함이 발생합니다.
💡 쉬운 설명
한 번 발행된 초대 링크가 유효기간 없이 계속 살아있어, 퇴사자나 권한이 없어진 사람이 예전 링크로 다시 들어올 수 있는 문제입니다. 이를 통해 허가되지 않은 사용자가 시스템에 다시 접속하거나 더 높은 권한을 얻을 수 있습니다.
🇺🇸 원문 (English)
OpenObserve is a cloud-native observability platform. Prior to version 0.16.0, organization invitation tokens do not expire once issued, remain valid even after the invited user is removed from the organization, and allow multiple invitations to the same email with different roles where all issued links remain valid simultaneously. This results in broken access control where a removed or demoted user can regain access or escalate privileges. This issue has been patched in version 0.16.0.
📍 영향받는 시스템
OpenObserve versions prior to 0.16.0
⚔️ 공격 벡터
만료되지 않은 기존 조직 초대 링크를 재사용하여 권한 탈취 또는 권한 상승 시도
🛡️ 대응 방법
OpenObserve를 최신 버전인 0.16.0 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.16.0 미만이면 취약한 상태이며, 0.16.0 이상이면 패치된 상태입니다.
curl -s http://<target-ip>:<port>/version | grep -E '0\.1[6-9]\.|0\.[1-9][6-9]\.' || echo 'Vulnerable or version unknown'
💻 영향받는 소프트웨어
VMware Telco Cloud Platform