Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Elastic opravuje 2 zraniteľnosti v produktoch Kibana a Logstash
Elastic opravuje 2 zraniteľnosti vo svojich produktoch [1][2]. Produkty a ich opravené verzie: Kibana - 8.17.6, 8.18.1 a 9.0.1 [1]; Logstash - 8.17.6, 8.18.1 a 9.0.1 [2].
Autentifikovanému vzdialenému útočníkovi je z dôvodu zraniteľnosti typu prototype pollution na inštanciách Kibany (self-hosted aj Elastic Cloud) s aktívnymi funkciami Machine Learning (ML) a Reporting umožnené zasielaním špeciálne vytvorených HTTP požiadaviek na ML a Reporting endpointy spustiť kód. Ak nie je možná okamžitá aktualizácia na opravenú verziu, na dočasnú mitigáciu rizika sa odporúča jednu z týchto funkcií zakázať. Detailné informácie k mitigácii nájdete na [1].
Zraniteľnosť sa nachádza v produkte:
- *:Kibana; >=8.3.0, <=8.17.5; ==8.18.0; ==9.0.0;
CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H
Viac informácií:
- CVE-2025-25014 na cve.org, NVD
- CWE-1321: Improperly Controlled Modification of Object Prototype Attributes ('Prototype Pollution') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 6. 5. 2025.
Neautentifikovanému vzdialenému útočníkovi je z dôvodu chybnej validácie certifikátu v plugine TCP output na inštanciách Logstash (self-hosted aj Elastic Cloud) umožnené pri behu v režime "client" a konfigurácii "ssl_verification_mode => full" vykonať útok man-in-the-middle (MITM). Ak nie je možná okamžitá aktualizácia Logstash na opravenú verziu, na dočasnú mitigáciu je možné aktualizovať plugin TCP output na verziu 6.2.2 alebo 7.0.1 pomocou príkazu "bin/logstash-plugin update logstash-output-tcp" [2].
Zraniteľnosť sa nachádza v produkte:
- *:Kibana; <8.17.6; ==8.18.0; ==9.0.0;
CVSS: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N
Viac informácií:
- CVE-2025-37730 na cve.org, NVD
- CWE-295: Improper Certificate Validation na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 6. 5. 2025.
Odkazy
Za CESNET, z.s.p.o. Michaela Ručková dňa 7. 5. 2025.