CVE-2026-72673
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Kibana ma podatność na nieprawidłową autoryzację (CWE-863), umożliwiającą nieautoryzowane usuwanie prywatnych lokalizacji Synthetics. Lokalizacje mogą być współdzielone między przestrzeniami, a zabezpieczenie przed usuwaniem sprawdza tylko monitory widoczne w przestrzeni użytkownika. Uwierzytelniony użytkownik z uprawnieniami do zapisu Synthetics w jednej przestrzeni może usunąć lokalizację, od której zależą inne przestrzenie, nawet bez dostępu do nich.
Ocena ryzyka
Usunięcie współdzielonej lokalizacji zatrzymuje monitory w innych przestrzeniach, co prowadzi do utraty monitorowania dostępności. Może to ukryć awarie i naruszyć wymagania zgodności.
Rekomendacja
Zaktualizuj Kibana do wersji z poprawką. Ogranicz uprawnienia do zarządzania lokalizacjami Synthetics i regularnie audytuj uprawnienia.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-102412Średnie
Nieprawidłowa autoryzacja w Kibanie umożliwia ujawnienie poufnych informacji. Uwierzytelniony użytkownik z ograniczonymi uprawnieniami Fleet może uzyskać dostęp do materiałów poświadczających, które powinny być zarezerwowane dla administratorów. Wykorzystanie luki może pozwolić na kradzież kluczy kryptograficznych i podszywanie się pod zaufane komponenty infrastruktury Fleet.
- CVE-2026-102410Średnie
Brak autoryzacji w Kibanie w funkcji Metrics Experience umożliwia użytkownikowi z dostępem tylko do odczytu danych na poziomie indeksu pobieranie danych metrycznych przez Kibana, mimo braku odpowiedniego uprawnienia funkcji Kibana. Odpowiednik API z tą samą funkcją wymagał autoryzacji, ale to wewnętrzne API jej nie egzekwowało.
- CVE-2026-102406Wysokie
Kibana zawiera podatność obejścia autoryzacji w procesie instalacji pakietów Fleet. Użytkownik z delegowanymi uprawnieniami do zarządzania pakietami może przejąć identyfikator strumienia danych należący do innego dzierżawcy, przekierowując dane ofiary do infrastruktury kontrolowanej przez atakującego.
- CVE-2026-94400Średnie
Nieograniczone zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130).
- CVE-2026-78582Średnie
Brak autoryzacji (CWE-862) w Kibana może prowadzić do nieautoryzowanego usuwania danych poprzez wykorzystanie niepoprawnie skonfigurowanych poziomów kontroli dostępu (CAPEC-180). Uwierzytelniony użytkownik z uprawnieniami Synthetics ograniczonymi do pojedynczej przestrzeni Kibana może trwale usunąć monitory Synthetics współdzielone z przestrzeniami, do których nie ma dostępu. W przypadku monitora powiązanego z prywatną lokalizacją ta sama operacja niszczy również konfigurację integracji Elastic Agent bez kontroli autoryzacji, które Fleet normalnie stosuje.
- CVE-2026-72662Średnie
Podatność w Kibanie umożliwia obejście autoryzacji poprzez kontrolowany przez użytkownika klucz (CWE-639). Uwierzytelniony użytkownik z uprawnieniami do funkcji Timeline w przestrzeni Kibany może wyliczać, odczytywać, modyfikować i usuwać wersje robocze obiektów Timeline należących do innych użytkowników w tej samej przestrzeni. Do wyliczenia i ujawnienia wystarczy dostęp tylko do odczytu, a do modyfikacji i usunięcia wymagane jest uprawnienie zapisu do Timeline.
- CVE-2026-82302Wysokie
Nieprawidłowa autoryzacja w Kibana może umożliwić nieautoryzowaną modyfikację konfiguracji poprzez wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization (CWE-863) in Kibana can lead to unauthorized deletion of Synthetics private locations via Accessing Functionality Not Properly Constrained by ACLs (CAPEC-1). Synthetics private locations can be shared with more than one space, and deleting one removes it from every space it is shared with. The safeguard that prevented the deletion of a private location still in use evaluated only the monitors visible in the requesting user's own space, so monitors that depend on the private location in other spaces were not taken into account. As a result, an authenticated Kibana user holding the Synthetics write privilege in a single space could delete a private location that other spaces still depend on, even where the user has no access to those spaces. Deleting the private location removes the shared configuration and stops the monitors in the other spaces from running, which suppresses the availability monitoring those spaces rely on.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS