CVE-2026-115294
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 28 - wyżej niż 28% wszystkich znanych CVE
Streszczenie
Nieprawidłowe ograniczenie ścieżki do katalogu (CWE-22) w funkcji Kibana Fleet może prowadzić do nieautoryzowanego usunięcia zasobów poprzez path traversal. Użytkownik o niskich uprawnieniach z dostępem do zapisu polityk agentów Fleet może spowodować, że późniejsza akcja administracyjna obejmie niezamierzone zasoby, takie jak przestrzenie Kibana.
Ocena ryzyka
Możliwe jest usunięcie przestrzeni Kibana i innych zasobów organizacyjnych, do których użytkownik o niskich uprawnieniach nie ma bezpośredniego dostępu.
Rekomendacja
Zaktualizuj Kibana do wersji zawierającej poprawkę i ogranicz uprawnienia zapisu do polityk agentów Fleet.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-115295Średnie
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w Kibana może prowadzić do ujawnienia informacji poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL (CAPEC-1). Uwierzytelniony użytkownik z dostępem do odczytu konektorów w jednej przestrzeni Kibana może odczytać informacje z dzienników wykonania konektorów z innych przestrzeni, do których nie ma uprawnień. Ujawniane informacje obejmują nazwy i identyfikatory konektorów, status wykonania, znaczniki czasu, komunikaty błędów i zagregowane statystyki wykonania.
- CVE-2026-115293Średnie
Wstawienie wrażliwych informacji do wysyłanych danych (CWE-201) w procesie wdrażania Kibana Observability może prowadzić do ujawnienia poświadczeń używanych przez Kibana do połączenia z Elasticsearch. Gdy poświadczenia te są osadzone w adresach URL hosta Elasticsearch w konfiguracji Kibana, uwierzytelniony użytkownik z uprawnieniami do wdrażania danych Observability może je uzyskać. Użytkownik może następnie uzyskać bezpośredni dostęp do Elasticsearch z uprawnieniami konta usługi Kibana, wykraczającymi poza uprawnienia przyznane temu użytkownikowi.
- CVE-2026-115292Średnie
Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w Kibana Machine Learning może prowadzić do ujawnienia informacji poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL (CAPEC-1). Uwierzytelniony użytkownik z dostępem do odczytu Machine Learning w jednej przestrzeni Kibana może odczytać komunikaty audytu i błędów zadań analizy data frame należących do innych przestrzeni, do których nie ma uprawnień. Komunikaty te mogą zawierać szczegóły zadań, takie jak nazwy indeksów docelowych, nazwy analizowanych pól i informacje o błędach.
- CVE-2026-102412Średnie
Nieprawidłowa autoryzacja w Kibanie umożliwia ujawnienie poufnych informacji. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Fleet może uzyskać dostęp do materiałów poświadczających, które powinny być zarezerwowane dla administratorów. Wykorzystanie luki może pozwolić na kradzież kluczy kryptograficznych i podszywanie się pod zaufane komponenty infrastruktury Fleet.
- CVE-2026-102410Średnie
Brak autoryzacji w Kibanie w funkcji Metrics Experience umożliwia użytkownikowi z dostępem tylko do odczytu danych na poziomie indeksu pobieranie danych metrycznych przez Kibana, mimo braku odpowiedniego uprawnienia funkcji Kibana. Odpowiednik API z tą samą funkcją wymagał autoryzacji, ale to wewnętrzne API jej nie egzekwowało.
- CVE-2026-102406Wysokie
Kibana zawiera podatność obejścia autoryzacji w procesie instalacji pakietów Fleet. Użytkownik z delegowanymi uprawnieniami do zarządzania pakietami może przejąć identyfikator strumienia danych należący do innego dzierżawcy, przekierowując dane ofiary do infrastruktury kontrolowanej przez atakującego.
- CVE-2026-94400Średnie
Nieograniczone zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130).
Oryginalny opis (angielski, źródło NVD)
Improper Limitation of a Pathname to a Restricted Directory (CWE-22) in the Kibana Fleet feature can lead to unauthorized resource deletion via Path Traversal (CAPEC-126). A low-privileged user with Fleet agent policies write access could cause a subsequent administrative action to act on unintended resources. This can result in the deletion of resources such as Kibana spaces and other organizational assets that the low-privileged user cannot delete directly. Exploitation requires an administrator to interact with the affected Fleet interface.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS