[TLP:CLEAR] Elastic Kibana opravuje kritickou zranitelnost

Elastic Kibana verzemi 8.14.2 a 7.17.23 opravuje kritickou zranitelnost. V případě, že nelze provést aktualizace, společnost pro zmírnění dopadu doporučuje provést kontrolu zabezpečení uživatelských oprávnění, dále lze vypnout funkce Connector Actions a Machine Learning, pokud nejsou vyžadovány [1].

Elastic Kibana - arbitrary code execution (CVE-2024-37287)
CVSS 9.1 (Critical)

Autentizovanému vzdálenému útočníkovi s přístupem k funkcím konektorů Machine Learning a Alerting a s přístupem k zápisu do interních indexů Machine Learning je umožněno spustit "prototype pollution" [2] zranitelnost a vykonat spuštění libovolného kódu [1].

Zranitelnost se nachází v produktu:

  • Kibana; >=8.0.0, <8.14.2; >=7.7.0, <7.17.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Více informací:

  • CVE-2024-37287 na cve.org, NVD
  • CWE-1321: Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 6. 8. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dne 15. 8. 2024.

CESNET, z.s.p.o. Logo