Vulnerabilidad en OpenObserve (CVE-2024-25106)

OpenObserve es una plataforma de observabilidad creada específicamente para registros, métricas, seguimientos y análisis, manipulada para funcionar a escala de petabytes. Se ha identificado una vulnerabilidad crítica en el endpoint "/api/{org_id}/users/{email_id}". Esta vulnerabilidad permite que cualquier usuario autenticado dentro de una organización elimine a cualquier otro usuario de esa misma organización, independientemente de sus respectivas funciones. Esto incluye la capacidad de eliminar usuarios con roles de "Administrador" y "Root". Al permitir que cualquier miembro de la organización altere unilateralmente la base de usuarios, se abre la puerta al acceso no autorizado y puede causar interrupciones considerables en las operaciones. El núcleo de la vulnerabilidad radica en la función `remove_user_from_org` en el sistema de gestión de usuarios. Esta función está manipulada para permitir a los usuarios de la organización eliminar miembros de su organización. La función no comprueba si el usuario que inicia la solicitud tiene los privilegios administrativos adecuados para eliminar un usuario. Cualquier usuario que forme parte de la organización, independientemente de su rol, puede eliminar a cualquier otro usuario, incluidos aquellos con mayores privilegios. Esta vulnerabilidad se clasifica como un problema de autorización que conduce a la eliminación de usuarios no autorizados. El impacto es grave, ya que compromete la integridad de la gestión de usuarios dentro de las organizaciones. Al explotar esta vulnerabilidad, cualquier usuario dentro de una organización, sin necesidad de privilegios administrativos, puede eliminar usuarios críticos, incluidos los usuarios "Admins" y "Root". Esto podría provocar un acceso no autorizado al sistema, un bloqueo administrativo o interrupciones operativas. Dado que las cuentas de usuario suelen ser creadas por "Admins" o usuarios "Root", esta vulnerabilidad puede ser explotada por cualquier usuario al que se le haya otorgado acceso a una organización, lo que representa un riesgo crítico para la seguridad y la estabilidad operativa de la aplicación. Este problema se solucionó en la versión 0.8.0. Se recomienda a los usuarios que actualicen.