Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] Elastic Kibana opravuje kritickú zraniteľnosť

Elastic Kibana verziami 8.14.2 a 7.17.23 opravuje kritickú zraniteľnosť. V prípade, že nie je možné vykonať aktualizáciu, spoločnosť na zmiernenie dopadu odporúča vykonať kontrolu zabezpečenia používateľských oprávnení, ďalej je možné vypnúť funkcie Connector Actions a Machine Learning, ak nie sú vyžadované [1].

Elastic Kibana - vykonanie ľubovoľného kódu (CVE-2024-37287)
CVSS 9.1 (Critical)

Autentizovanému vzdialenému útočníkovi s prístupom k funkciám konektorov Machine Learning a Alerting a s prístupom na zápis do interných indexov Machine Learning je umožnené spustiť zraniteľnosť "prototype pollution" [2] a vykonať spustenie ľubovoľného kódu [1].

Zraniteľnosť sa nachádza v produkte:

  • Kibana; >=8.0.0, <8.14.2; >=7.7.0, <7.17.23

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Viac informácií:

  • CVE-2024-37287 na cve.org, NVD
  • CWE-1321: Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') na cwe.mitre.org

Zraniteľnosť bola verejne oznámená 6. 8. 2024.

Za CESNET, z.s.p.o. Michaela Jarošová dňa 15. 8. 2024.

CESNET, z.s.p.o. Logo