CVE-2026-78583
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Nieprawidłowa autoryzacja w Kibana może prowadzić do eskalacji uprawnień poprzez manipulację danymi wejściowymi. Deklaracje uprawnień klastra Elasticsearch pochodzące z pakietów integracyjnych nie były weryfikowane przed użyciem do tworzenia poświadczeń dla zarejestrowanych agentów Elastic.
Ocena ryzyka
Użytkownik z uprawnieniami zarządzania Fleet może przyznać każdemu agentowi Elastic na docelowej polityce poświadczenia z dowolnie podwyższonymi uprawnieniami klastra, aż do pełnej administracji klastrem, co stanowi poważne ryzyko przejęcia kontroli.
Rekomendacja
Zaktualizuj Kibana do wersji zawierającej poprawkę i ogranicz uprawnienia zarządzania Fleet tylko do zaufanych użytkowników.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-82302Wysokie
Nieprawidłowa autoryzacja w Kibana może umożliwić nieautoryzowaną modyfikację konfiguracji poprzez wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-82299Średnie
W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do ujawnienia informacji poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).
- CVE-2026-82298Średnie
W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do odmowy usługi poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).
- CVE-2026-78596Średnie
W Kibanie występuje brak autoryzacji (CWE-862), który może prowadzić do nieautoryzowanej modyfikacji danych poprzez nadużycie uprawnień (CAPEC-122). Uwierzytelniony użytkownik z dostępem tylko do odczytu w jednej przestrzeni Kibana może wywołać operacje migracji Entity Analytics, które wykonują uprzywilejowane zapisy we wszystkich przestrzeniach Kibana, niezależnie od faktycznego zakresu dostępu użytkownika.
- CVE-2026-78595Średnie
W Kibanie, w funkcji Fleet, występuje brak autoryzacji (CWE-862), który może prowadzić do ujawnienia informacji poprzez nadużycie uprawnień (CAPEC-122). Uwierzytelniony użytkownik z uprawnieniami odczytu agentów Fleet w jednej przestrzeni Kibana może wyliczyć metadane agentów i uzyskać dostęp do treści diagnostycznych agentów zarejestrowanych w innych przestrzeniach Kibana.
- CVE-2026-78593Średnie
Niewystarczająco zweryfikowane pole konfiguracyjne w integracji Cribl w Kibanie pozwala uwierzytelnionemu użytkownikowi z uprawnieniami zarządzania Fleet na wstrzyknięcie wyrażeń kontrolowanych przez atakującego do szablonu skryptu po stronie serwera, co skutkuje zapisaniem potoku przetwarzania Elasticsearch poza dozwolonymi uprawnieniami Elasticsearch wywołującego.
- CVE-2026-82293Średnie
Nieprawidłowa autoryzacja (CWE-863) w funkcji uczenia maszynowego w Kibanie może prowadzić do nieautoryzowanego zużycia zasobów poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu (CAPEC-180). Uwierzytelniony użytkownik może wywoływać funkcje uczenia maszynowego poza zakresem swojej autoryzacji, zużywając zasoby klastra, do których nie powinien mieć dostępu.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization (CWE-863) in Kibana can lead to privilege escalation via Input Data Manipulation (CAPEC-153). Elasticsearch cluster privilege declarations originating from integration packages were not validated before being used to mint credentials for enrolled Elastic Agents. A user holding Fleet management privileges could therefore cause every Elastic Agent on a targeted policy to receive a credential carrying arbitrarily elevated Elasticsearch cluster privileges, up to and including full cluster administration.