🇰🇷 한글 설명
OpenObserve 0.90.3 미만 버전에서 /config/runtime 엔드포인트가 인증 없이 노출되는 취약점이 발견되었습니다. 민감 정보 필터링 기능이 dsn이나 creds 필드명을 인식하지 못해, PostgreSQL 데이터베이스 자격 증명, 관리자 이메일, 내부 NATS 주소 등이 평문으로 유출될 수 있습니다.
💡 쉬운 설명
인증 없이 누구나 서버의 중요한 설정 정보를 볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 데이터베이스 비밀번호나 관리자 이메일 같은 민감한 정보가 해커에게 노출될 위험이 있습니다.
🇺🇸 원문 (English)
OpenObserve is a cloud-native observability platform. Prior to 0.90.3, OpenObserve registers the /config/runtime endpoint without authentication and serializes the complete server configuration after applying the hide_sensitive_fields keyword filter. The filter does not recognize dsn or creds field names, so meta_postgres_dsn, meta_postgres_ro_dsn, meta_ddl_dsn, and usage_reporting_creds can be returned in plaintext to an unauthenticated network client. PostgreSQL deployments can expose database credentials, and the same response can disclose the root administrator email address, internal NATS address, filesystem layout, and other deployment details. This issue is fixed in version 0.90.3.
📍 영향받는 시스템
OpenObserve 0.90.3 미만 모든 버전
⚔️ 공격 벡터
인증되지 않은 네트워크 클라이언트가 /config/runtime 엔드포인트에 HTTP 요청을 전송하여 정보를 탈취
🛡️ 대응 방법
OpenObserve를 최신 보안 패치가 적용된 버전인 0.90.3 이상으로 업데이트
🔧 검증 코드
해당 엔드포인트가 200 OK 응답을 반환하고 민감한 설정 데이터가 포함되어 있다면 취약한 상태입니다.
curl -s -I http://<target_ip>:<port>/config/runtime | grep "HTTP/"