CVE-2026-63645 - Vuln Watch

判定

概要: 認証不要の /config/runtime エンドポイントがサーバー設定を返し、機密フィールドを隠すフィルターが dsn や creds の項目名を認識しないため、設定情報が漏えいします。
影響: 未認証のネットワーククライアントがデータベース資格情報などの機密情報や、管理者メールアドレス、内部アドレス、ファイルシステム構成などを取得できる場合があります。
対象: OpenObserve 0.90.3 未満。
対策: OpenObserve 0.90.3 に更新してください。
判定: AV:N / PR:N / UI:N（CNA・CVSS 3.1）／認証回避
出典: CVE.org: CVE-2026-63645

https://github.com/openobserve/openobserve/security/advisories/GHSA-v496-g5c9-vqxw

https://github.com/openobserve/openobserve/pull/12220

https://github.com/openobserve/openobserve/commit/4f3db1cf790ffe8ea065d98f87344e839ec6e477

https://github.com/openobserve/openobserve/releases/tag/v0.90.3

出所	版	AV / PR / UI	ベクトル	出所側の更新日時
CNA（採用）	3.1	AV:N / PR:N / UI:N	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N	2026-09-25 02:39

RCE ・ CNA の説明文、CNA の CVSS 評価
PostgreSQL deployments can expose database credentials, and the same response can disclose the root administrator email address, internal NATS address, filesystem layout, and other deployment details. / CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
認証回避・ CNA の説明文
OpenObserve registers the /config/runtime endpoint without authentication
シェル取得・ CNA の説明文、CNA の CVSS 評価
meta_postgres_dsn, meta_postgres_ro_dsn, meta_ddl_dsn, and usage_reporting_creds can be returned in plaintext to an unauthenticated network client. / CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
root 取得・ CNA の説明文、CNA の CVSS 評価
the same response can disclose the root administrator email address, internal NATS address, filesystem layout, and other deployment details. / CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

モデル gpt-6-luna ・プロンプト 2026-10-10 ・ 2026-10-13 05:55 ・入力 SHA-256 360f5b15a7aa

PostgreSQL — 説明文で一致（AI の判定: 影響を受けるか非該当）

OpenObserve is a cloud-native observability platform. Prior to 0.90.3, OpenObserve registers the /config/runtime endpoint without authentication and serializes the complete server configuration after applying the hide_sensitive_fields keyword filter. The filter does not recognize dsn or creds field names, so meta_postgres_dsn, meta_postgres_ro_dsn, meta_ddl_dsn, and usage_reporting_creds can be returned in plaintext to an unauthenticated network client. PostgreSQL deployments can expose database credentials, and the same response can disclose the root administrator email address, internal NATS address, filesystem layout, and other deployment details. This issue is fixed in version 0.90.3.