漏洞概述 OpenObserve 项目中的 函数存在 SSRF(服务器端请求伪造)漏洞。 根本原因:Rust 的 crate 在解析 IPv6 地址时,会返回带有方括号的字符串(例如 ),而不是标准的 。原代码逻辑直接比较 ,导致无法正确识别本地回环地址,从而绕过安全限制。 影响:认证攻击者可以访问被外部访问阻止的内部服务。在云部署环境中,攻击者可利用此漏洞通过 AWS IMDSv1 (169.254.169.254)、GCP 元数据或 Azure IMDS 检索 IAM 凭据。在自托管部署中,允许探测内部网络服务。 影响范围 受影响软件: openobserve 受影响版本: <= 0.14.5 CVSS 评分: 7.7 / 10 (High) 修复方案 修改 函数,在检查 IP 地址前,先剥离 IPv6 地址的方括号,并针对 IPv4 映射的 IPv6 地址进行额外检查。 修复代码逻辑 (Proposed Fix): POC 代码/利用代码 1. 复现步骤中的 curl 命令: 2. 验证 (Verification) 代码: 3. 确认的绕过载荷 (Confirmed bypass payloads): — 绕过本地块 — IPv4 映射回环,所有检查被绕过 — AWS IMDSv1 SSRF — RFC 1918 范围,检查被绕过 — 不在块中