CVE-2026-49094

Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.

Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.

Podatność typu Authorization Bypass Through User-Controlled Key (CWE-639) w Kibana może prowadzić do nieautoryzowanej modyfikacji danych poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL. W pewnych warunkach uwierzytelniony użytkownik może odwołać się do identyfikatora rozmowy asystenta AI innego użytkownika, aby uzyskać dostęp lub zmodyfikować rozmowę, której nie posiada. Skuteczne wykorzystanie wymaga znajomości trudnego do odgadnięcia identyfikatora.

Kibana Agent Builder nie weryfikuje poprawnie, czy żądający użytkownik posiada uprawnienia wymagane przez oddzielną funkcję Kibany, zanim utworzy i uruchomi narzędzie, które wywołuje funkcjonalność tej funkcji. Umożliwia to eskalację uprawnień i może prowadzić do ujawnienia wrażliwych informacji, do których użytkownik nie jest upoważniony.

Punkt końcowy A2A JSON-RPC API w Kibana Agent Builder wyprowadza identyfikator przechowywanej rozmowy z danych dostarczonych przez użytkownika, a kontrola własności tego identyfikatora nie rozróżnia między rozmową, która nie istnieje, a taką, która istnieje, ale należy do innego użytkownika. W rezultacie uwierzytelniony użytkownik posiadający tylko uprawnienie do odczytu Agent Builder może podać identyfikator już używany przez innego użytkownika w tej samej przestrzeni i spowodować zastąpienie rozmowy tego użytkownika oraz przypisanie jej do konta żądającego. Pierwotny właściciel trwale traci dostęp do rozmowy i jej historii. Wpływ jest ograniczony do utraty integralności i dostępności danej rozmowy; atakujący nie odczytuje nadpisanej treści.

Kibana zawiera podatność Relative Path Traversal (CWE-23), która może prowadzić do nieautoryzowanego usuwania zasobów Kibana. Kibana Fleet akceptuje identyfikator dostarczony przez użytkownika dla konfiguracji hosta Fleet Server bez odrzucania sekwencji względnych ścieżek. Identyfikator jest przechowywany i później używany w żądaniu usunięcia konfiguracji.

Kibana zawiera podatność Missing Authorization (CWE-862), która może prowadzić do ujawnienia informacji między przestrzeniami i nieautoryzowanej modyfikacji danych. Kibana Machine Learning wykonuje operacje Elasticsearch z podwyższonymi wewnętrznymi uprawnieniami i polega na filtrze przestrzeni, aby oddzielić dane ML między przestrzeniami. Część funkcji ML nie stosowała tego filtra, więc operacje z jednej przestrzeni były wykonywane na danych ML wszystkich przestrzeni.

Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Lista pól dokumentów dostarczana przez użytkownika w funkcji Playground dla RAG nie jest ograniczona pod względem długości ani nie jest deduplikowana przed użyciem do budowy odpowiedzi. Pojedynczy spreparowany request może spowodować, że Kibana zbuduje odpowiedź znacznie większą niż dane źródłowe, wyczerpując zasoby instancji.

Kibana ma podatność na nieprawidłową autoryzację (CWE-863), umożliwiającą nieautoryzowane usuwanie prywatnych lokalizacji Synthetics. Lokalizacje mogą być współdzielone między przestrzeniami, a zabezpieczenie przed usuwaniem sprawdza tylko monitory widoczne w przestrzeni użytkownika. Uwierzytelniony użytkownik z uprawnieniami do zapisu Synthetics w jednej przestrzeni może usunąć lokalizację, od której zależą inne przestrzenie, nawet bez dostępu do nich.

Funkcja Elastic Security, która sugeruje istniejące wartości pól podczas tworzenia polityk endpoint, wysyła zapytania do danych Elastic Defend przy użyciu wewnętrznego konta Elasticsearch Kibana zamiast konta użytkownika. Sprawdzane są tylko uprawnienia funkcji Kibana, a nie uprawnienia indeksów Elasticsearch. Uwierzytelniony użytkownik z uprawnieniami funkcji Elastic Security, ale bez dostępu do odczytu indeksów Elastic Defend, może pobrać wartości pól, w tym argumenty wiersza poleceń procesów, które często zawierają tokeny, poświadczenia i inne wrażliwe dane.