CVE-2026-78601
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w Kibana przy operacji konfiguracji Entity Store umożliwia uwierzytelnionemu użytkownikowi z podwyższonymi uprawnieniami Kibana pośrednie odczytanie indeksów Elasticsearch, do których nie ma uprawnień. Dane pochodne z tych indeksów są następnie ujawniane przez wyjście entity store.
Ocena ryzyka
Ryzyko ujawnienia danych z indeksów Elasticsearch, do których użytkownik nie powinien mieć dostępu, co może naruszyć poufność informacji.
Rekomendacja
Zaktualizuj Kibana do wersji z poprawką i zweryfikuj uprawnienia użytkowników z podwyższonymi rolami.
Inne podatności w Kibana
Zobacz wszystkie- CVE-2017-8452Wysokie
Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.
- CVE-2016-1000219Wysokie
Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.
- CVE-2019-7609KrytyczneAktywnie exploitowane
Kibana w wersjach przed 5.6.15 i 6.6.1 zawiera podatność na wykonanie dowolnego kodu w wizualizatorze Timelion. Atakujący z dostępem do aplikacji Timelion może wysłać żądanie, które próbuje wykonać kod JavaScript, co może prowadzić do wykonania dowolnych poleceń z uprawnieniami procesu Kibana na systemie.
- CVE-2026-82302Wysokie
Nieprawidłowa autoryzacja w Kibana może umożliwić nieautoryzowaną modyfikację konfiguracji poprzez wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-82299Średnie
W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do ujawnienia informacji poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).
- CVE-2026-82298Średnie
W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do odmowy usługi poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).
- CVE-2026-78596Średnie
W Kibanie występuje brak autoryzacji (CWE-862), który może prowadzić do nieautoryzowanej modyfikacji danych poprzez nadużycie uprawnień (CAPEC-122). Uwierzytelniony użytkownik z dostępem tylko do odczytu w jednej przestrzeni Kibana może wywołać operacje migracji Entity Analytics, które wykonują uprzywilejowane zapisy we wszystkich przestrzeniach Kibana, niezależnie od faktycznego zakresu dostępu użytkownika.
- CVE-2026-78595Średnie
W Kibanie, w funkcji Fleet, występuje brak autoryzacji (CWE-862), który może prowadzić do ujawnienia informacji poprzez nadużycie uprawnień (CAPEC-122). Uwierzytelniony użytkownik z uprawnieniami odczytu agentów Fleet w jednej przestrzeni Kibana może wyliczyć metadane agentów i uzyskać dostęp do treści diagnostycznych agentów zarejestrowanych w innych przestrzeniach Kibana.
- CVE-2026-78593Średnie
Niewystarczająco zweryfikowane pole konfiguracyjne w integracji Cribl w Kibanie pozwala uwierzytelnionemu użytkownikowi z uprawnieniami zarządzania Fleet na wstrzyknięcie wyrażeń kontrolowanych przez atakującego do szablonu skryptu po stronie serwera, co skutkuje zapisaniem potoku przetwarzania Elasticsearch poza dozwolonymi uprawnieniami Elasticsearch wywołującego.
- CVE-2026-78583Wysokie
Nieprawidłowa autoryzacja w Kibana może prowadzić do eskalacji uprawnień poprzez manipulację danymi wejściowymi. Deklaracje uprawnień klastra Elasticsearch pochodzące z pakietów integracyjnych nie były weryfikowane przed użyciem do tworzenia poświadczeń dla zarejestrowanych agentów Elastic.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization (CWE-862) in Kibana can lead to information disclosure via Privilege Abuse (CAPEC-122). An authorization control was not applied to a Kibana Entity Store configuration operation, allowing an authenticated user with elevated Kibana privileges to indirectly cause a background task to read from Elasticsearch indices that user is not authorized to access. Derived entity data from those indices is then exposed through the entity store output.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS