CVE-2026-72676
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 29 - wyżej niż 29% wszystkich znanych CVE
Streszczenie
Fleet Server ma podatność na wstrzykiwanie kodu (CWE-94), która może prowadzić do wykonania skryptów dostarczonych przez atakującego. Kibana akceptuje identyfikator konfiguracji wyjścia bez ograniczania go do bezpiecznych znaków. Identyfikator jest później umieszczany w skrypcie serwerowym budowanym przez Fleet Server, więc składnia skryptu osadzona w identyfikatorze staje się częścią wykonywanego skryptu.
Ocena ryzyka
Atakujący może wykonać dowolny kod na serwerze Fleet Server, co może prowadzić do pełnej kompromitacji systemu i danych. Wymaga to jednak uwierzytelnienia i odpowiednich uprawnień.
Rekomendacja
Zaktualizuj Kibana i Fleet Server do wersji z poprawką. Ogranicz uprawnienia do konfiguracji wyjść i waliduj identyfikatory.
Inne podatności w Fleet Server
Zobacz wszystkie- CVE-2026-78587Niskie
Nieprawidłowa autoryzacja (CWE-863) w Fleet Server może prowadzić do odmowy usługi operacji przesyłania danych agentów poprzez nadużycie uprawnień (CAPEC-122). Fleet Server nie weryfikuje poprawnie własności sesji podczas operacji przesyłania wieloczęściowego, umożliwiając dowolnemu uwierzytelnionemu agentowi ingerencję w aktywne sesje przesyłania należące do innych zarejestrowanych agentów.
- CVE-2026-72657Średnie
Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Fleet Server może prowadzić do ujawnienia informacji. Decyzja autoryzacyjna dla pobierania artefaktów opierała się na wartości dostarczonej przez klienta, która nie była weryfikowana z rekordem serwera dotyczącym przypisania agenta. Uwierzytelniona strona posiadająca ważne poświadczenia agenta może pobrać politykę, do której agent nie jest przypisany.
- CVE-2026-56150Średnie
Podatność CWE-770 w Fleet Server umożliwia atakującemu wysłanie specjalnie spreparowanego żądania do punktu końcowego przesyłania plików, co prowadzi do nadmiernego zużycia pamięci i może spowodować odmowę usługi (DoS).
Oryginalny opis (angielski, źródło NVD)
Improper Control of Generation of Code ('Code Injection') (CWE-94) in Fleet Server can lead to the execution of attacker-supplied script content via Code Injection (CAPEC-242). Kibana accepted an identifier for an output configuration without restricting it to safe characters. That identifier is later placed into a server-side script that Fleet Server builds as part of routine agent policy processing, so script syntax embedded in the identifier became part of the script that was executed rather than being treated as data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS