Elastic opravuje 10 zranitelností

Připadá Vám tento report dobře zpracovaný? *

Ano

Používáte tuto technologii? *

Ano

Byl pro Vás tento report užitečný?

Ano

Budeme rádi, pokud se rozepíšete:

Bezpečnostní služby poskytované organizací CESNET jsou navrženy jako významná podpora při zajišťování kybernetické bezpečnosti připojených organizací. Přestože usilujeme o poskytování kvalitních a spolehlivých služeb, není možné garantovat absolutní pokrytí všech bezpečnostních zranitelností. Naše služby by měly být vnímány jako doplněk k vlastnímu bezpečnostnímu řízení organizací, nikoli jako jeho náhrada. Klient nese konečnou odpovědnost za zabezpečení svého prostředí.

[TLP:CLEAR] Elastic opravuje 10 zranitelností

Elastic opravuje 10 zranitelností v produktu Kibana, a to verzemi 8.19.16, 9.2.8, 9.3.5 a 9.4.2. Nejzávažnější zranitelnosti najdete popsané níže, zbylé na [1].

Elastic Kibana - SSFR (CVE-2026-42398)

CVSS 7.7 (High)

Autentizovanému vzdálenému útočníkovi s oprávněním pro správu konektorů je umožněno pomocí zranitelnosti SSRF a speciálně upraveného Webhook konektoru obejít kontrolu odchozích spojení definovanou v konfiguraci xpack.actions.allowedHosts a odesílat požadavky na blokované cíle [2].

Zranitelnost se nachází v produktu:

Kibana; >=9.0.0, <=9.2.7; >=9.3.0, <=9.3.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N

Více informací:

CVE-2026-42398 na cve.org, NVD
CWE-918: Server-Side Request Forgery (SSRF) na cwe.mitre.org

Zranitelnost byla veřejně oznámena 28. 5. 2026.

Elastic Kibana - Priviledge escalation, unauthorized read/write (CVE-2026-49095)

CVSS 6.5 (Medium)

Autentizovanému vzdálenému útočníkovi s oprávněním pro správu Fleet (fleet-all) je kvůli nedostatečné validaci vstupu umožněno neoprávněně zvýšit privilegia Elastic agentů, a tím získat přístup ke čtení a zápisu do citlivých bezpečnostních indexů Elasticsearch [3].

Zranitelnost se nachází v produktu:

Kibana; >=8.0.0, <=8.19.15; >=9.0.0, <=9.3.4; >=9.4.0, <=9.4.1

CVSS: CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N