[TLP:CLEAR] Elastic Kibana opravuje středně závažnou zranitelnost
Elastic verzemi 9.1.3 a 9.0.6 opravuje středně závažnou zranitelnost v produktu Kibana [1].
Autentizovanému vzdálenému útočníkovi s rolí 'reporting_user' je umožněno zvýšit svá oprávnění a získat přístup ke všem Kibana Spaces [1]. Zranitelné jsou pouze instance, kde je tato role přiřazena koncovým uživatelům. Kromě aktualizace na opravenou verzi je nutné také zneplatnit API Keys vytvořené uživateli s touto rolí, jelikož si i v opravených verzích zvýšená oprávnění zachovávají. Není-li okamžitá aktualizace možná, je pro dočasnou mitigaci rizika administrátorům doporučeno roli 'reporting_user' odebrat a nahradit ji vlastní s omezeným přístupem.
Zranitelnost se nachází v produktu:
- Kibana; >=9.0.0, <=9.0.5; >=9.1.0, <=9.1.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Více informací:
- CVE-2025-25010 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 28. 8. 2025.
Za CESNET, z.s.p.o. Michaela Ručková dne 2. 9. 2025.