Überspringen zum Hauptinhalt

CVE-2026-77811 – Gespeichertes Cross-Site-Scripting über ein Integration-Template-Asset in OpenSearch Dashboards

Bulletin-ID: 2026-088-AWS
Geltungsbereich: AWS
Inhaltstyp: Wichtig (erfordert Aufmerksamkeit)
Datum der Veröffentlichung: 21.08.2026, 13.00 Uhr PDT

Beschreibung:

Amazon OpenSearch Service ist ein verwalteter Service, der die Bereitstellung, den Betrieb und die Skalierung von OpenSearch-Clustern vereinfacht. Wir haben CVE-2026-77811 identifiziert, ein Stored-Cross-Site-Scripting-(XSS)-Problem im Dashboards-Observability-Plugin von OpenSearch Dashboards. Unzureichende Eingabevalidierung im Endpunkt für statische Dateien der Integration ermöglicht es einem authentifizierten Remote-Akteur mit Schreibberechtigungen für in OpenSearch Dashboards gespeicherte Objekte, eine benutzerdefinierte Integration hochzuladen, die beliebiges JavaScript enthält. Wenn ein anderer Benutzer direkt auf den Endpunkt für statische Dateien zugreift, wird das Skript in seiner Browsersitzung ausgeführt und kann in seinem Namen Aktionen ausführen, darunter API-Aufrufe an OpenSearch mit dessen Berechtigungen.

Betroffene Produkte und Versionen:

OpenSearch Dashboards – Dashboards-Observability-Plugin (Open Source, selbstverwaltet):

  • Betroffen: Versionen vor 3.4 und Versionen vor 2.19.6
  • Behoben in: Versionen 3.4 und 2.19.6

Amazon OpenSearch Service (von AWS verwaltet):

  • Betroffen: Versionen vor 3.3
  • Behoben in: In allen betroffenen Versionen behoben (per Servicesoftware-Update)

Behebung:

Dieses Problem wurde in allen Versionen von Amazon OpenSearch Service (verwaltet) und OpenSearch (Open Source) in den Versionen 3.4 und 2.19.6 behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.

Für OpenSearch (Open Source) wurde dieses Problem in den Versionen 3.4 und 2.19.6 des Dashboards-Observability-Plugins von OpenSearch Dashboards behoben. Wir empfehlen, ein Upgrade auf die neueste Version vorzunehmen und dafür zu sorgen, dass geforkter oder derivativer Code gepatcht wird, damit die neuen Korrekturen enthalten sind.

Bei Amazon OpenSearch Service (verwaltet) wurde dieses Problem in allen betroffenen Versionen behoben. Wir empfehlen, dass Kunden so schnell wie möglich ein Update ihrer Domains auf die neueste Version der Service-Software vornehmen. Ein Upgrade der Engine auf eine neuere Version ist nicht erforderlich. Sie können das Update von der Konsole aus anwenden. Wählen Sie Ihre Domain aus, wählen Sie dann „Aktionen“ > „Version der Service-Software“ aus und klicken Sie dann auf „Update“. Domains, bei denen automatische Software-Updates aktiviert sind, erhalten dieses Update in ihrem nächsten Zeitfenster außerhalb der Spitzenzeiten. Es sind keine Maßnahmen erforderlich. Ausführliche Informationen finden Sie unter Service-Software-Updates in Amazon OpenSearch Service.

Problemumgehungen:

Beschränken Sie den Schreibzugriff für in Dashboards gespeicherte Objekte nur auf vertrauenswürdige Benutzer. Vermeiden Sie den direkten Zugriff auf Assets über die API für statische Integrationsdateien in einem Browser oder außerhalb der normalen Web-Oberfläche.

Referenzen:


Bei Fragen oder Bedenken zum Thema „Sicherheit“ wenden Sie sich bitte per E-Mail an aws-security@amazon.com.