Zpětná vazba k reportu

Autentizovanému vzdálenému útočníkovi je kvůli zranitelnosti typu prototype pollution na instancích Kibany (self-hosted i Elastic Cloud) s aktivními funkcemi Machine Learning (ML) a Reporting umožněno zasíláním speciálně vytvořených HTTP požadavků na ML a Reporting endpointy spustit kód. Není-li možná okamžitá aktualizace na opravenou verzi, je pro dočasnou mitigaci rizika doporučeno jednu z těchto funkcí zakázat. Detailní informace k mitigaci naleznete na [1].

Zranitelnost se nachází v produktu:

• *:Kibana; >=8.3.0, <=8.17.5; ==8.18.0; ==9.0.0;

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Více informací:

• CVE-2025-25014 na cve.org, NVD
• CWE-1321: Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 6. 5. 2025.

Neautentizovanému vzdálenému útočníkovi je kvůli chybné validaci certifikátu v pluginu TCP output na instancích Logstash (self-hosted i Elastic Cloud) umožněno při běhu v režimu "client" a konfiguraci "ssl_verification_mode => full" provést útok man-in-the-middle (MITM). Není-li možná okamžitá aktualizace Logstash na opravenou verzi, lze pro dočasnou mitigaci aktualizovat plugin TCP output na verzi 6.2.2 nebo 7.0.1 pomocí příkazu "bin/logstash-plugin update logstash-output-tcp" [2].

Zranitelnost se nachází v produktu:

• *:Kibana; <8.17.6; ==8.18.0; ==9.0.0;

CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N

Více informací:

• CVE-2025-37730 na cve.org, NVD
• CWE-295: Improper Certificate Validation na cwe.mitre.org

Zranitelnost byla veřejně oznámena 6. 5. 2025.