CVE-2026-72663
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Kibana ma podatność na nieefektywną złożoność algorytmiczną (CWE-407), prowadzącą do denial of service przez manipulację danymi wejściowymi. Specjalnie spreparowane, głęboko zagnieżdżone wyrażenie przesłane do wizualizacji TSVB jest oceniane z kosztem rosnącym nieproporcjonalnie do rozmiaru wejścia. Ponieważ ocena działa synchronicznie, pojedynczy request zajmuje wątek przetwarzania Kibany na czas nieokreślony, a Kibana przestaje odpowiadać na wszystkie dalsze requesty do czasu restartu.
Ocena ryzyka
Atak może całkowicie zablokować przetwarzanie requestów w Kibanie, powodując niedostępność usługi dla wszystkich użytkowników. Wystarczy jeden request.
Rekomendacja
Zainstaluj aktualizację Kibany z poprawką. Ogranicz dostęp do wizualizacji TSVB i monitoruj wykorzystanie wątków.
Oryginalny opis (angielski, źródło NVD)
Inefficient Algorithmic Complexity (CWE-407) in Kibana can lead to denial of service via Input Data Manipulation (CAPEC-153). A specially crafted, deeply nested expression submitted to a Kibana TSVB visualization is evaluated with a worst-case cost that grows disproportionately with the size of the input. Because the evaluation runs synchronously, a single request consumes the Kibana request-processing thread indefinitely, and Kibana stops responding to all further requests until the service is restarted.