[TLP:CLEAR] Elastic opravuje 4 zraniteľnosti
Elastic opravuje 4 zraniteľnosti v rôznych produktoch. Produkty a ich opravené verzie: Metricbeat - 8.19.13, 9.2.5 [1] Kibana - 8.19.13, 9.2.7, 9.3.2 [2][3] Packetbeat - 8.19.4, 9.2.4 [4]
Autentizovanému priľahlému útočníkovi je v Elastic Metricbeat umožnené vykonať DoS útok alokovaním príliš veľkého množstva pamäte [1].
Zraniteľnosť sa nachádza v produkte Elastic Metricbeat vo verziách (>=8.0.0 AND <8.19.13) OR (>=9.0.0 AND <9.2.5).
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-26931 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-789: Memory Allocation with Excessive Size Value at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 3. 2026.
Autentizovanému vzdialenému útočníkovi s právami na manažment pravidiel je v Elastic Kibana umožnené neoprávnene nakonfigurovať reakčné akcie na klientských zariadeniach [2].
Zraniteľnosť sa nachádza v produkte Elastic Kibana vo verziách (>=8.0.0 AND <8.19.12) OR (>=9.0.0 AND <9.2.6) OR (>=9.3.0 AND <9.3.1).
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
Viac informácií:
- CVE-2026-26939 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-862: Missing Authorization at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 3. 2026.
Autentizovanému vzdialenému útočníkovi je v Elastic Kibana umožnené vykonať DoS útok alokovaním priveľkého množstva pamäte po zaslaní špeciálne vytvoreného Timelion výrazu [3].
Zraniteľnosť sa nachádza v produkte Elastic Kibana vo verziách (>=8.0.0 AND <8.19.13) OR (>=9.0.0 AND <9.2.7) OR (>=9.3.0 AND <9.3.2).
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-26940 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-1284: Improper Validation of Specified Quantity in Input at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 3. 2026.
Autentizovanému priľahlému útočníkovi je v Elastic Packetbeat umožnené vykonať DoS útok spôsobením prístupu za hranicu pamäte alebo vyčerpaním dostupnej voľnej pamäte zasielaním špeciálne vytvorených paketov [4].
Zraniteľnosť sa nachádza v produkte Elastic Packetbeat vo verziách (>=8.0.0 AND <8.19.11) OR (>=9.0.0 AND <9.2.5).
CVSS: CVSS:3.1/AV:A/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
Viac informácií:
- CVE-2026-26933 at cve.org, NVD, GitHub, CIRCL.LU, Debian, Ubuntu, Red Hat, SUSE
- CWE-129: Improper Validation of Array Index at cwe.mitre.org
Zraniteľnosť bola verejne oznámená 19. 3. 2026.
Odkazy
- [1] https://discuss.elastic.co/t/metricbeat-8-19-13-9-2-5-security-update-esa-2026-09/385532
- [2] https://discuss.elastic.co/t/kibana-8-19-12-9-2-6-9-3-1-security-update-esa-2026-19/385530
- [3] https://discuss.elastic.co/t/kibana-8-19-13-9-2-7-9-3-2-security-update-esa-2026-20/385535
- [4] https://discuss.elastic.co/t/packetbeat-8-19-11-9-2-5-security-update-esa-2026-11/385533
Za CESNET-CERTS Martin Krajči dňa 20. 3. 2026.
