CVE-2026-72643
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Kibana Agent Builder porównuje właściciela prywatnego agenta na podstawie nazwy użytkownika, gdy brakuje stabilnego identyfikatora. Nazwa użytkownika nie jest unikalna w różnych realmach uwierzytelniania Elasticsearch, co powoduje, że dwóch różnych użytkowników o tej samej nazwie jest traktowanych jako ten sam właściciel.
Ocena ryzyka
Ryzyko obejmuje ujawnienie konfiguracji i instrukcji agenta, którego użytkownik nie posiada, oraz możliwość jego modyfikacji lub usunięcia, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaleca się wdrożenie unikalnych identyfikatorów użytkowników niezależnych od nazwy oraz aktualizację Kibana do wersji z poprawką.
Oryginalny opis (angielski, źródło NVD)
Kibana Agent Builder determines whether a caller owns a private agent by comparing a stable user identifier when one is recorded, and falling back to a comparison of the username when it is not. A username is not unique across Elasticsearch authentication realms, so two distinct principals that share a username in different realms are treated as the same owner. This discloses the configuration and instructions of an agent the caller does not own, and allows that agent to be altered or removed.