OpenSearch Dashboards: Server-Side Request Forgery in fetchDataSourceMetaData
Zusammenfassung
OpenSearch Dashboards in den Versionen 2.14.0 bis vor 2.19.6 und 3.0.0 bis vor 3.7.0 enthält eine Server-Side Request Forgery (SSRF) Schwachstelle in der Route fetchDataSourceMetaData. Diese Route wendet die Endpunkt-Validierung (gesperrte IP-Adressen und erlaubte Suffixe) nicht an, die die verwandte Route test_connection durchsetzt. Ein authentifizierter Benutzer kann interne oder Loopback-Endpunkte angeben und den Server nutzen, um interne Netzwerkressourcen zu sondieren; die Auswirkung beschränkt sich auf die Vertraulichkeit, eine Codeausführung ist nicht möglich.
Betroffen
- OpenSearch Dashboards 2.14.0 bis vor 2.19.6 (ausschliesslich)
- OpenSearch Dashboards 3.0.0 bis vor 3.7.0 (ausschliesslich)
Behoben in
- Aktualisierung auf OpenSearch Dashboards 2.19.6 oder 3.7.0 (oder neuer).
Umgehung
- Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. VulDB empfiehlt, ausgehende Verbindungen vom Dashboards-Server zu internen IP-Bereichen und Loopback-Adressen per Firewall zu blockieren, bis das Update eingespielt ist.
Ausnutzung
- Gemäss VulDB ist zum Zeitpunkt der Recherche kein Exploit verfügbar.
- Es wurden keine Berichte über Ausnutzung in freier Wildbahn gefunden.
- Die CVE wurde am 11. November 2026 veröffentlicht, die NVD-Analyse war noch ausstehend.
Unsere Empfehlung
- OpenSearch Dashboards auf 2.19.6 oder 3.7.0 oder neuer aktualisieren.
- Bis dahin ausgehende Verbindungen vom Dashboards-Server zu internen Netzwerken und Loopback-Adressen einschränken.
- Zugriff auf Dashboards prüfen und auf die benötigten Benutzer beschränken.
- Prüfen, ob die Data-Source-Funktion genutzt wird, und Logs auf ungewöhnliche Anfragen an interne Endpunkte überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-6qp6-3675-ffr3 github.com
- OpenSearch Dashboards Release 2.19.6 github.com
- OpenSearch Dashboards Release 3.7.0 github.com
- VulDB CVE-2026-64686 vuldb.com
- VulDB entry 435609 vuldb.com
- OffSeq Radar CVE-2026-64686 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.