CVE-2026-72654

Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.

Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.

Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w Kibana może prowadzić do ujawnienia informacji poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL (CAPEC-1). Uwierzytelniony użytkownik z dostępem do odczytu konektorów w jednej przestrzeni Kibana może odczytać informacje z dzienników wykonania konektorów z innych przestrzeni, do których nie ma uprawnień. Ujawniane informacje obejmują nazwy i identyfikatory konektorów, status wykonania, znaczniki czasu, komunikaty błędów i zagregowane statystyki wykonania.

Nieprawidłowe ograniczenie ścieżki do katalogu (CWE-22) w funkcji Kibana Fleet może prowadzić do nieautoryzowanego usunięcia zasobów poprzez path traversal. Użytkownik o niskich uprawnieniach z dostępem do zapisu polityk agentów Fleet może spowodować, że późniejsza akcja administracyjna obejmie niezamierzone zasoby, takie jak przestrzenie Kibana.

Wstawienie wrażliwych informacji do wysyłanych danych (CWE-201) w procesie wdrażania Kibana Observability może prowadzić do ujawnienia poświadczeń używanych przez Kibana do połączenia z Elasticsearch. Gdy poświadczenia te są osadzone w adresach URL hosta Elasticsearch w konfiguracji Kibana, uwierzytelniony użytkownik z uprawnieniami do wdrażania danych Observability może je uzyskać. Użytkownik może następnie uzyskać bezpośredni dostęp do Elasticsearch z uprawnieniami konta usługi Kibana, wykraczającymi poza uprawnienia przyznane temu użytkownikowi.

Obejście autoryzacji poprzez klucz kontrolowany przez użytkownika (CWE-639) w Kibana Machine Learning może prowadzić do ujawnienia informacji poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL (CAPEC-1). Uwierzytelniony użytkownik z dostępem do odczytu Machine Learning w jednej przestrzeni Kibana może odczytać komunikaty audytu i błędów zadań analizy data frame należących do innych przestrzeni, do których nie ma uprawnień. Komunikaty te mogą zawierać szczegóły zadań, takie jak nazwy indeksów docelowych, nazwy analizowanych pól i informacje o błędach.

Nieprawidłowa autoryzacja w Kibanie umożliwia ujawnienie poufnych informacji. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Fleet może uzyskać dostęp do materiałów poświadczających, które powinny być zarezerwowane dla administratorów. Wykorzystanie luki może pozwolić na kradzież kluczy kryptograficznych i podszywanie się pod zaufane komponenty infrastruktury Fleet.

Brak autoryzacji w Kibanie w funkcji Metrics Experience umożliwia użytkownikowi z dostępem tylko do odczytu danych na poziomie indeksu pobieranie danych metrycznych przez Kibana, mimo braku odpowiedniego uprawnienia funkcji Kibana. Odpowiednik API z tą samą funkcją wymagał autoryzacji, ale to wewnętrzne API jej nie egzekwowało.

Kibana zawiera podatność obejścia autoryzacji w procesie instalacji pakietów Fleet. Użytkownik z delegowanymi uprawnieniami do zarządzania pakietami może przejąć identyfikator strumienia danych należący do innego dzierżawcy, przekierowując dane ofiary do infrastruktury kontrolowanej przez atakującego.