CVE-2026-72629
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Podatność typu Authorization Bypass Through User-Controlled Key w Kibana umożliwia nieautoryzowany dostęp między przestrzeniami. Użytkownik może uzyskać dostęp do wyników inferencji z wytrenowanego modelu w innej przestrzeni, do której nie ma uprawnień, a także może zatrzymać lub zmienić zasoby aktywnego wdrożenia modelu.
Ocena ryzyka
Ryzyko obejmuje ujawnienie zachowania modelu oraz możliwość zakłócenia działania wdrożeń modeli, co może prowadzić do naruszenia poufności i dostępności usług.
Rekomendacja
Zaleca się wdrożenie poprawek Kibana dotyczących kontroli dostępu między przestrzeniami oraz ograniczenie uprawnień do operacji na modelach.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-102412Średnie
Nieprawidłowa autoryzacja w Kibanie umożliwia ujawnienie poufnych informacji. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Fleet może uzyskać dostęp do materiałów poświadczających, które powinny być zarezerwowane dla administratorów. Wykorzystanie luki może pozwolić na kradzież kluczy kryptograficznych i podszywanie się pod zaufane komponenty infrastruktury Fleet.
- CVE-2026-102410Średnie
Brak autoryzacji w Kibanie w funkcji Metrics Experience umożliwia użytkownikowi z dostępem tylko do odczytu danych na poziomie indeksu pobieranie danych metrycznych przez Kibana, mimo braku odpowiedniego uprawnienia funkcji Kibana. Odpowiednik API z tą samą funkcją wymagał autoryzacji, ale to wewnętrzne API jej nie egzekwowało.
- CVE-2026-102406Wysokie
Kibana zawiera podatność obejścia autoryzacji w procesie instalacji pakietów Fleet. Użytkownik z delegowanymi uprawnieniami do zarządzania pakietami może przejąć identyfikator strumienia danych należący do innego dzierżawcy, przekierowując dane ofiary do infrastruktury kontrolowanej przez atakującego.
- CVE-2026-94400Średnie
Nieograniczone zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130).
- CVE-2026-78582Średnie
Brak autoryzacji (CWE-862) w Kibana może prowadzić do nieautoryzowanego usuwania danych poprzez wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu (CAPEC-180). Uwierzytelniony użytkownik z uprawnieniami Synthetics ograniczonymi do pojedynczej przestrzeni Kibana może trwale usunąć monitory Synthetics współdzielone z przestrzeniami, do których nie ma dostępu. W przypadku monitora powiązanego z prywatną lokalizacją ta sama operacja niszczy również konfigurację integracji Elastic Agent bez kontroli autoryzacji, które Fleet normalnie stosuje.
- CVE-2026-72662Średnie
Podatność w Kibanie umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Uwierzytelniony użytkownik z uprawnieniami do funkcji Timeline w przestrzeni Kibany może wyliczać, odczytywać, modyfikować i usuwać wersje robocze obiektów Timeline należących do innych użytkowników w tej samej przestrzeni. Do wyliczenia i ujawnienia wystarczy dostęp tylko do odczytu, a do modyfikacji i usunięcia wymagane jest uprawnienie zapisu do Timeline.
- CVE-2026-82302Wysokie
Nieprawidłowa autoryzacja w Kibana może umożliwić nieautoryzowaną modyfikację konfiguracji poprzez wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Authorization Bypass Through User-Controlled Key (CWE-639) in Kibana can lead to unauthorized cross-space access via Accessing Functionality Not Properly Constrained by ACLs (CAPEC-1). The result is disclosure of inference output from a trained model in a different space that the user is not authorized to list, read, or use, which exposes the behavior of a model. The same pattern also reached the deployment stop and deployment update operations, allowing an active trained model deployment in another space to be stopped or to have its allocated resources altered.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS