Field-level security issue with .keyword fields in OpenSearch
Advisory title: Field-level security issue with .keyword fields
Affected versions:
OpenSearch 1.0.0-1.3.7 and 2.0.0-2.4.1
Patched versions:
OpenSearch 1.3.8 and 2.5.0
Impact:
There is an issue in the implementation of field-level security (FLS) and field masking where rules written to explicitly exclude fields are not correctly applied for certain queries that rely on their auto-generated .keyword fields.
This issue is only present for authenticated users with read access to the indexes containing the restricted fields.
Workaround:
FLS rules that use explicit exclusions can be written to grant explicit access instead. Policies authored in this way are not subject to this issue.
Patches:
OpenSearch versions 1.3.8 and 2.5.0 contain a fix for this issue.
For more information:
If you have any questions or comments about this advisory, please contact AWS/Amazon Security via our issue reporting page (https://aws.amazon.com/security/vulnerability-reporting/) or directly via email to aws-security@amazon.com. Please do not create a public GitHub issue.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Java / Kotlin (Maven) | org.opensearch.plugin:opensearch-security | < 1.3.8, >= 2.0.0, < 2.5.0 | 1.3.8, 2.5.0 |
Odnośniki
- Wektor CVSS
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:H/I:N/A:N- Słabość (CWE)
CWE-200- Platforma
- Java / Kotlin (Maven)
- Paczka
org.opensearch.plugin:opensearch-security- Ujawniono
- 24.01.2023
- Aktualizacja
- 11.10.2026 13:19
Źródła i licencje
OSV / GitHub Advisory Database - GHSA-v3cg-7r9h-r2g6 - CC BY 4.0
Historia podatności: org.opensearch.plugin:opensearch-security
Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 14
- Pierwsza → ostatnia
- 08.2022 05.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 0
Rozkład istotności
- Wysoka 2
- Średnia 9
- Niska 3
Ujawnienia w latach
- 2022: 1
- 2023: 7
- 2024: 0
- 2025: 2
- 2026: 4
-
Field-level security issue with .keyword fields in OpenSearch ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.