CVE-2026-78581

Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.

Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.

Kibana Agent Builder nie weryfikuje poprawnie, czy żądający użytkownik posiada uprawnienia wymagane przez oddzielną funkcję Kibany, zanim utworzy i uruchomi narzędzie, które wywołuje funkcjonalność tej funkcji. Umożliwia to eskalację uprawnień i może prowadzić do ujawnienia wrażliwych informacji, do których użytkownik nie jest upoważniony.

Punkt końcowy A2A JSON-RPC API w Kibana Agent Builder wyprowadza identyfikator przechowywanej rozmowy z danych dostarczonych przez użytkownika, a kontrola własności tego identyfikatora nie rozróżnia między rozmową, która nie istnieje, a taką, która istnieje, ale należy do innego użytkownika. W rezultacie uwierzytelniony użytkownik posiadający tylko uprawnienie do odczytu Agent Builder może podać identyfikator już używany przez innego użytkownika w tej samej przestrzeni i spowodować zastąpienie rozmowy tego użytkownika oraz przypisanie jej do konta żądającego. Pierwotny właściciel trwale traci dostęp do rozmowy i jej historii. Wpływ jest ograniczony do utraty integralności i dostępności danej rozmowy; atakujący nie odczytuje nadpisanej treści.

Kibana zawiera podatność Relative Path Traversal (CWE-23), która może prowadzić do nieautoryzowanego usuwania zasobów Kibana. Kibana Fleet akceptuje identyfikator dostarczony przez użytkownika dla konfiguracji hosta Fleet Server bez odrzucania sekwencji względnych ścieżek. Identyfikator jest przechowywany i później używany w żądaniu usunięcia konfiguracji.

Kibana zawiera podatność Missing Authorization (CWE-862), która może prowadzić do ujawnienia informacji między przestrzeniami i nieautoryzowanej modyfikacji danych. Kibana Machine Learning wykonuje operacje Elasticsearch z podwyższonymi wewnętrznymi uprawnieniami i polega na filtrze przestrzeni, aby oddzielić dane ML między przestrzeniami. Część funkcji ML nie stosowała tego filtra, więc operacje z jednej przestrzeni były wykonywane na danych ML wszystkich przestrzeni.

Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Lista pól dokumentów dostarczana przez użytkownika w funkcji Playground dla RAG nie jest ograniczona pod względem długości ani nie jest deduplikowana przed użyciem do budowy odpowiedzi. Pojedynczy spreparowany request może spowodować, że Kibana zbuduje odpowiedź znacznie większą niż dane źródłowe, wyczerpując zasoby instancji.

Kibana ma podatność na nieprawidłową autoryzację (CWE-863), umożliwiającą nieautoryzowane usuwanie prywatnych lokalizacji Synthetics. Lokalizacje mogą być współdzielone między przestrzeniami, a zabezpieczenie przed usuwaniem sprawdza tylko monitory widoczne w przestrzeni użytkownika. Uwierzytelniony użytkownik z uprawnieniami do zapisu Synthetics w jednej przestrzeni może usunąć lokalizację, od której zależą inne przestrzenie, nawet bez dostępu do nich.

Funkcja Elastic Security, która sugeruje istniejące wartości pól podczas tworzenia polityk endpoint, wysyła zapytania do danych Elastic Defend przy użyciu wewnętrznego konta Elasticsearch Kibana zamiast konta użytkownika. Sprawdzane są tylko uprawnienia funkcji Kibana, a nie uprawnienia indeksów Elasticsearch. Uwierzytelniony użytkownik z uprawnieniami funkcji Elastic Security, ale bez dostępu do odczytu indeksów Elastic Defend, może pobrać wartości pól, w tym argumenty wiersza poleceń procesów, które często zawierają tokeny, poświadczenia i inne wrażliwe dane.

Funkcja Kibana Machine Learning, która usuwa obiekt zapisany z bieżącej przestrzeni, akceptuje wytrenowane modele jako cel, ale weryfikuje tylko uprawnienia dotyczące zadań wykrywania anomalii i analizy ramek danych. Użytkownik z uprawnieniami do tworzenia tych zadań, ale bez uprawnień do modeli, może usunąć wytrenowany model z przestrzeni. Model nie jest usuwany i pozostaje dostępny w innych przestrzeniach, a zmiana może być cofnięta przez uprawnionego użytkownika.