[TLP:CLEAR] Elastic Kibana opravuje 4 zranitelnosti
Elastic Kibana verzí 8.15.0 opravuje 4 zranitelnosti [1][2].
Autentizovanému vzdálenému útočníkovi bez přístupu k Fleetu je umožněno zobrazit politiky Elastic Agenta, které mohou obsahovat citlivé informace [1].
Zranitelnost se nachází v produktu Kibana ve verzích >=8.0.0 AND <8.15.0.
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Více informací:
- CVE-2024-43707 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor at cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 1. 2025.
Autentizovanému vzdálenému útočníkovi s oprávněním pro čtení libovolné funkce je kvůli neomezenému přidělování zdrojů umožněno způsobit pád systému, a to prostřednictvím speciálně vytvořeného payloadu zaslaného na určité vstupy v uživatelském rozhraní Kibana [2].
Zranitelnost se nachází v produktu Kibana ve verzích (>=7.0.0 AND >7.17.23) OR (>=8.0.0 AND <=8.15.0).
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-43708 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-770: Allocation of Resources Without Limits or Throttling at cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 1. 2025.
Autentizovanému vzdálenému útočníkovi s přístupem ke čtení funkcí Observability Metrics nebo Logs v nástroji Kibana je kvůli neomezenému přidělování zdrojů umožněno způsobit pád systému, a to pomocí speciálně vytvořeného požadavku na /api/metrics/snapshot [2].
Zranitelnost se nachází v produktu Kibana ve verzích (>=7.0.0 AND <7.17.23) OR (>=8.0.0 AND <8.15.0).
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Více informací:
- CVE-2024-52972 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-770: Allocation of Resources Without Limits or Throttling at cwe.mitre.org
Zranitelnost byla veřejně oznámena 23. 1. 2025.
Autentizovanému vzdálenému útočníkovi s přístupem ke čtení ve Fleetu je kvůli zranitelnosti typu server-side request forgery v rozhraní API /api/fleet/health_check umožněno vykonat požadavky na interní koncové body [1].
Zranitelnost se nachází v produktu Kibana ve verzích >=8.7.0 AND <8.15.0.
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Více informací:
- CVE-2024-43710 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-918: Server-Side Request Forgery (SSRF) at cwe.mitre.org
Zranitelnost byla veřejně oznámena 22. 1. 2025.
Odkazy
Za CESNET-CERTS Michaela Jarošová dne 23. 1. 2025.
