Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Elastic Kibana opravuje 2 kritické zraniteľnosti
Elastic Kibana vo verziách 8.15.1 opravuje 2 kritické zraniteľnosti. Ak aktualizácia nie je možná, pri zraniteľnosti CVE-2024-37288 je možné problém zmierniť zakázaním Integračného asistenta pomocou nastavenia 'xpack.integration_assistant.enabled: false' v konfiguračnom súbore kibana.yml [1].
Autentizovanému vzdialenému útočníkovi je umožnené vykonať spustenie ľubovoľného kódu, ak sa nástroj Kibana pokúsi analyzovať dokument YAML obsahujúci škodlivý payload. Táto zraniteľnosť sa týka iba používateľov, ktorí používajú integrované nástroje umelej inteligencie Elastic Security a majú nakonfigurovaný konektor Amazon Bedrock [1].
Zraniteľnosť sa nachádza v produkte:
- Kibana; =8.15.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-37288 na cve.org, NVD
- CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 11. 2024.
Autentizovanému vzdialenému útočníkovi, ktorý má kombináciu špecifických oprávnení k indexom v Elasticsearch a oprávnení v Kibane, je umožnené vykonať spustenie ľubovoľného kódu, ak sa nástroj Kibana pokúsi analyzovať dokument YAML obsahujúci škodlivý payload [1].
Zraniteľnosť sa nachádza v produkte:
- Elastic Kibana; >=8.10.0, <=8.15.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2024-37285 na cve.org, NVD
- CWE-CWE-502: Deserialization of Untrusted Data na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 14. 11. 2024.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 26. 11. 2024.