CVE-2026-115293
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Wstawienie wrażliwych informacji do wysyłanych danych (CWE-201) w procesie wdrażania Kibana Observability może prowadzić do ujawnienia poświadczeń używanych przez Kibana do połączenia z Elasticsearch. Gdy poświadczenia te są osadzone w adresach URL hosta Elasticsearch w konfiguracji Kibana, uwierzytelniony użytkownik z uprawnieniami do wdrażania danych Observability może je uzyskać. Użytkownik może następnie uzyskać bezpośredni dostęp do Elasticsearch z uprawnieniami konta usługi Kibana, wykraczającymi poza uprawnienia przyznane temu użytkownikowi.
Ocena ryzyka
Użytkownik może uzyskać poświadczenia o wysokich uprawnieniach, umożliwiające bezpośredni dostęp do Elasticsearch i potencjalnie modyfikację lub wyciek danych. Stanowi to poważne naruszenie zasady najmniejszych uprawnień.
Rekomendacja
Zaktualizuj Kibana do wersji zawierającej poprawkę. Nie osadzaj poświadczeń w adresach URL hosta Elasticsearch; zamiast tego używaj bezpiecznych mechanizmów uwierzytelniania.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-115295Średnie
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w Kibana może prowadzić do ujawnienia informacji poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL (CAPEC-1). Uwierzytelniony użytkownik z dostępem do odczytu konektorów w jednej przestrzeni Kibana może odczytać informacje z dzienników wykonania konektorów z innych przestrzeni, do których nie ma uprawnień. Ujawniane informacje obejmują nazwy i identyfikatory konektorów, status wykonania, znaczniki czasu, komunikaty błędów i zagregowane statystyki wykonania.
- CVE-2026-115294Wysokie
Nieprawidłowe ograniczenie ścieżki do katalogu (CWE-22) w funkcji Kibana Fleet może prowadzić do nieautoryzowanego usunięcia zasobów poprzez path traversal. Użytkownik o niskich uprawnieniach z dostępem do zapisu polityk agentów Fleet może spowodować, że późniejsza akcja administracyjna obejmie niezamierzone zasoby, takie jak przestrzenie Kibana.
- CVE-2026-115292Średnie
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w Kibana Machine Learning może prowadzić do ujawnienia informacji poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL (CAPEC-1). Uwierzytelniony użytkownik z dostępem do odczytu Machine Learning w jednej przestrzeni Kibana może odczytać komunikaty audytu i błędów zadań analizy data frame należących do innych przestrzeni, do których nie ma uprawnień. Komunikaty te mogą zawierać szczegóły zadań, takie jak nazwy indeksów docelowych, nazwy analizowanych pól i informacje o błędach.
- CVE-2026-102412Średnie
Nieprawidłowa autoryzacja w Kibanie umożliwia ujawnienie poufnych informacji. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Fleet może uzyskać dostęp do materiałów poświadczających, które powinny być zarezerwowane dla administratorów. Wykorzystanie luki może pozwolić na kradzież kluczy kryptograficznych i podszywanie się pod zaufane komponenty infrastruktury Fleet.
- CVE-2026-102410Średnie
Brak autoryzacji w Kibanie w funkcji Metrics Experience umożliwia użytkownikowi z dostępem tylko do odczytu danych na poziomie indeksu pobieranie danych metrycznych przez Kibana, mimo braku odpowiedniego uprawnienia funkcji Kibana. Odpowiednik API z tą samą funkcją wymagał autoryzacji, ale to wewnętrzne API jej nie egzekwowało.
- CVE-2026-102406Wysokie
Kibana zawiera podatność obejścia autoryzacji w procesie instalacji pakietów Fleet. Użytkownik z delegowanymi uprawnieniami do zarządzania pakietami może przejąć identyfikator strumienia danych należący do innego dzierżawcy, przekierowując dane ofiary do infrastruktury kontrolowanej przez atakującego.
- CVE-2026-94400Średnie
Nieograniczone zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130).
Oryginalny opis (angielski, źródło NVD)
Insertion of Sensitive Information Into Sent Data (CWE-201) in Kibana Observability onboarding can lead to disclosure of the credentials that Kibana uses to connect to Elasticsearch. When these credentials are embedded in the Elasticsearch host URLs in the Kibana configuration, an authenticated user with the privileges to onboard Observability data can obtain them. The user can then access Elasticsearch directly with the privileges of the Kibana service account, which are outside the privileges granted to that user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS