OpenObserve: Authentifizierungsumgehung über leeres Passwort bei Konten ohne password_ext

Zusammenfassung

OpenObserve-Versionen vor 1.1.0 akzeptieren ein leeres oder nur aus Leerzeichen bestehendes HTTP-Basic-Passwort für Konten, deren password_ext-Wert fehlt oder leer ist. Dieser Zustand kann bei per SSO bereitgestellten und migrierten Benutzern auftreten. Ein nicht authentifizierter Angreifer, der E-Mail-Adresse und Organisation eines Opfers kennt, kann geschützte API-Routen ausserhalb des Ingestion-Bereichs mit der Rolle und den Berechtigungen des Opfers aufrufen. Hat das Opfer Suchberechtigung, kann unter bestimmten Bedingungen über eine DataFusion-COPY-Anweisung das Schreiben von Dateien ermöglicht werden, was zu Remote Code Execution führen kann.

Betroffen

• OpenObserve-Versionen vor 1.1.0
• Konten mit fehlendem oder leerem password_ext-Wert, z. B. per SSO bereitgestellte oder migrierte Benutzer

Behoben in

• Behoben in Version 1.1.0 (PR #15054)

Umgehung

• Unbekannt. Kein Workaround des Herstellers dokumentiert; das Aktualisieren auf Version 1.1.0 oder neuer ist die Massnahme.
• Netzwerkzugriff auf die API und die Benutzeroberfläche von OpenObserve einschränken (VPN oder Reverse Proxy mit Allow-Liste), bis das Update erfolgt ist.

Ausnutzung

• Zum Zeitpunkt der Erstellung wurde keine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof-of-Concept gefunden; die CVE wurde am 10. Nov. 2026 veröffentlicht, daher ist das Fehlen von Meldungen noch kein starker Hinweis.

Unsere Empfehlung

• Laufende Version prüfen und auf 1.1.0 oder neuer aktualisieren.
• Bis zum Update den Zugriff auf die API und die Benutzeroberfläche einschränken, insbesondere bei Internet-Exposition.
• Konten mit fehlendem oder leerem password_ext identifizieren, besonders per SSO bereitgestellte und migrierte Benutzer, und deren Rollen prüfen.
• Konten mit Suchberechtigung überprüfen.
• Logs auf Basic-Auth-Anmeldungen an geschützte API-Routen prüfen.
• GHSA-Advisory und NVD-Eintrag auf Aktualisierungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-7w4v-2c9r-q94v github.com
• Fix commit 46678ea (PR #15054) github.com
• Fix commit dc5c657 (validator.rs) github.com
• Pull request #15054 github.com
• OpenObserve v1.1.0 release github.com
• CVE record CVE-2026-126065 www.cve.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 22:21.