Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi bez přístupu k Fleetu je umožněno zobrazit politiky Elastic Agenta, které mohou obsahovat citlivé informace [1].

Zranitelnost se nachází v produktu:

• *:Kibana; >=8.0.0, <8.15.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Více informací:

• CVE-2024-43707 na cve.org, NVD
• CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 1. 2025.

Autentizovanému vzdálenému útočníkovi s oprávněním pro čtení libovolné funkce je kvůli neomezenému přidělování zdrojů umožněno způsobit pád systému, a to prostřednictvím speciálně vytvořeného payloadu zaslaného na určité vstupy v uživatelském rozhraní Kibana [2].

Zranitelnost se nachází v produktu:

• *:Kibana; >=7.0.0, >7.17.23; >=8.0.0, <=8.15.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-43708 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 1. 2025.

Autentizovanému vzdálenému útočníkovi s přístupem ke čtení funkcí Observability Metrics nebo Logs v nástroji Kibana je kvůli neomezenému přidělování zdrojů umožněno způsobit pád systému, a to pomocí speciálně vytvořeného požadavku na /api/metrics/snapshot [2].

Zranitelnost se nachází v produktu:

• *:Kibana; >=7.0.0, <7.17.23; >=8.0.0, <8.15.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H

Více informací:

• CVE-2024-52972 na cve.org, NVD
• CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org

Zranitelnost byla veřejně oznámena 23. 1. 2025.

Autentizovanému vzdálenému útočníkovi s přístupem ke čtení ve Fleetu je kvůli zranitelnosti typu server-side request forgery v rozhraní API /api/fleet/health_check umožněno vykonat požadavky na interní koncové body [1].

Zranitelnost se nachází v produktu:

• *:Kibana; >=8.7.0, <8.15.0

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Více informací:

• CVE-2024-43710 na cve.org, NVD
• CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org

Zranitelnost byla veřejně oznámena 22. 1. 2025.