Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Elastic Kibana opravuje 4 zraniteľnosti
Elastic Kibana vo verzii 8.15.0 opravuje 4 zraniteľnosti [1][2].
Autentizovanému vzdialenému útočníkovi bez prístupu k Fleetu je umožnené zobraziť politiky Elastic Agenta, ktoré môžu obsahovať citlivé informácie [1].
Zraniteľnosť sa nachádza v produkte:
- *:Kibana; >=8.0.0, <8.15.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Viac informácií:
- CVE-2024-43707 na cve.org, NVD
- CWE-200: Exposure of Sensitive Information to an Unauthorized Actor na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Autentizovanému vzdialenému útočníkovi s oprávnením na čítanie ľubovoľnej funkcie je z dôvodu neobmedzeného prideľovania zdrojov umožnené spôsobiť pád systému, a to prostredníctvom špeciálne vytvoreného payloadu zaslaného na určité vstupy v používateľskom rozhraní Kibana [2].
Zraniteľnosť sa nachádza v produkte:
- *:Kibana; >=7.0.0, >7.17.23; >=8.0.0, <=8.15.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-43708 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Autentizovanému vzdialenému útočníkovi s prístupom na čítanie funkcií Observability Metrics alebo Logs v nástroji Kibana je z dôvodu neobmedzeného prideľovania zdrojov umožnené spôsobiť pád systému, a to pomocou špeciálne vytvorenej požiadavky na /api/metrics/snapshot [2].
Zraniteľnosť sa nachádza v produkte:
- *:Kibana; >=7.0.0, <7.17.23; >=8.0.0, <8.15.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2024-52972 na cve.org, NVD
- CWE-770: Allocation of Resources Without Limits or Throttling na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 23. 1. 2025.
Autentizovanému vzdialenému útočníkovi s prístupom na čítanie vo Fleete je z dôvodu zraniteľnosti typu server-side request forgery v rozhraní API /api/fleet/health_check umožnené vykonať požiadavky na interné koncové body [1].
Zraniteľnosť sa nachádza v produkte:
- *:Kibana; >=8.7.0, <8.15.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Viac informácií:
- CVE-2024-43710 na cve.org, NVD
- CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 22. 1. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Jarošová dňa 23. 1. 2025.