Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.
[TLP:CLEAR] Elastic Kibana opravuje stredne závažnú zraniteľnosť
Elastic verziami 9.1.3 a 9.0.6 opravuje stredne závažnú zraniteľnosť v produkte Kibana [1].
Autentizovanému vzdialenému útočníkovi s rolou 'reporting_user' je umožnené zvýšiť svoje oprávnenia a získať prístup ku všetkým Kibana Spaces [1]. Zraniteľné sú iba inštancie, kde je táto rola pridelená koncovým používateľom. Okrem aktualizácie na opravenú verziu je nutné aj zneplatniť API Keys vytvorené používateľmi s touto rolou, keďže si aj v opravených verziách zvýšené oprávnenia zachovávajú. Ak nie je možná okamžitá aktualizácia, je na dočasnú mitigáciu rizika administrátorom odporúčané rolu 'reporting_user' odobrať a nahradiť ju vlastnou s obmedzeným prístupom.
Zraniteľnosť sa nachádza v produkte:
- Kibana; >=9.0.0, <=9.0.5; >=9.1.0, <=9.1.2;
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Viac informácií:
- CVE-2025-25010 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 28. 8. 2025.
Za CESNET, z.s.p.o. Michaela Ručková dňa 2. 9. 2025.