Podatności Kibana

Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.

Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.

Podatność typu Authorization Bypass Through User-Controlled Key (CWE-639) w Kibana może prowadzić do nieautoryzowanej modyfikacji danych poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL. W pewnych warunkach uwierzytelniony użytkownik może odwołać się do identyfikatora rozmowy asystenta AI innego użytkownika, aby uzyskać dostęp lub zmodyfikować rozmowę, której nie posiada. Skuteczne wykorzystanie wymaga znajomości trudnego do odgadnięcia identyfikatora.

Kibana Agent Builder nie weryfikuje poprawnie, czy żądający użytkownik posiada uprawnienia wymagane przez oddzielną funkcję Kibany, zanim utworzy i uruchomi narzędzie, które wywołuje funkcjonalność tej funkcji. Umożliwia to eskalację uprawnień i może prowadzić do ujawnienia wrażliwych informacji, do których użytkownik nie jest upoważniony.

Punkt końcowy A2A JSON-RPC API w Kibana Agent Builder wyprowadza identyfikator przechowywanej rozmowy z danych dostarczonych przez użytkownika, a kontrola własności tego identyfikatora nie rozróżnia między rozmową, która nie istnieje, a taką, która istnieje, ale należy do innego użytkownika. W rezultacie uwierzytelniony użytkownik posiadający tylko uprawnienie do odczytu Agent Builder może podać identyfikator już używany przez innego użytkownika w tej samej przestrzeni i spowodować zastąpienie rozmowy tego użytkownika oraz przypisanie jej do konta żądającego. Pierwotny właściciel trwale traci dostęp do rozmowy i jej historii. Wpływ jest ograniczony do utraty integralności i dostępności danej rozmowy; atakujący nie odczytuje nadpisanej treści.

Kibana zawiera podatność Relative Path Traversal (CWE-23), która może prowadzić do nieautoryzowanego usuwania zasobów Kibana. Kibana Fleet akceptuje identyfikator dostarczony przez użytkownika dla konfiguracji hosta Fleet Server bez odrzucania sekwencji względnych ścieżek. Identyfikator jest przechowywany i później używany w żądaniu usunięcia konfiguracji.

Kibana zawiera podatność Missing Authorization (CWE-862), która może prowadzić do ujawnienia informacji między przestrzeniami i nieautoryzowanej modyfikacji danych. Kibana Machine Learning wykonuje operacje Elasticsearch z podwyższonymi wewnętrznymi uprawnieniami i polega na filtrze przestrzeni, aby oddzielić dane ML między przestrzeniami. Część funkcji ML nie stosowała tego filtra, więc operacje z jednej przestrzeni były wykonywane na danych ML wszystkich przestrzeni.

Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Lista pól dokumentów dostarczana przez użytkownika w funkcji Playground dla RAG nie jest ograniczona pod względem długości ani nie jest deduplikowana przed użyciem do budowy odpowiedzi. Pojedynczy spreparowany request może spowodować, że Kibana zbuduje odpowiedź znacznie większą niż dane źródłowe, wyczerpując zasoby instancji.

Kibana ma podatność na nieprawidłową autoryzację (CWE-863), umożliwiającą nieautoryzowane usuwanie prywatnych lokalizacji Synthetics. Lokalizacje mogą być współdzielone między przestrzeniami, a zabezpieczenie przed usuwaniem sprawdza tylko monitory widoczne w przestrzeni użytkownika. Uwierzytelniony użytkownik z uprawnieniami do zapisu Synthetics w jednej przestrzeni może usunąć lokalizację, od której zależą inne przestrzenie, nawet bez dostępu do nich.

Funkcja Elastic Security, która sugeruje istniejące wartości pól podczas tworzenia polityk endpoint, wysyła zapytania do danych Elastic Defend przy użyciu wewnętrznego konta Elasticsearch Kibana zamiast konta użytkownika. Sprawdzane są tylko uprawnienia funkcji Kibana, a nie uprawnienia indeksów Elasticsearch. Uwierzytelniony użytkownik z uprawnieniami funkcji Elastic Security, ale bez dostępu do odczytu indeksów Elastic Defend, może pobrać wartości pól, w tym argumenty wiersza poleceń procesów, które często zawierają tokeny, poświadczenia i inne wrażliwe dane.

Funkcja Kibana Machine Learning, która usuwa obiekt zapisany z bieżącej przestrzeni, akceptuje wytrenowane modele jako cel, ale weryfikuje tylko uprawnienia dotyczące zadań wykrywania anomalii i analizy ramek danych. Użytkownik z uprawnieniami do tworzenia tych zadań, ale bez uprawnień do modeli, może usunąć wytrenowany model z przestrzeni. Model nie jest usuwany i pozostaje dostępny w innych przestrzeniach, a zmiana może być cofnięta przez uprawnionego użytkownika.

Użytkownik z niższymi uprawnieniami, posiadający tylko uprawnienie do odczytu polityk agentów, może odczytać całą konfigurację skonfigurowanego proxy Fleet. Normalnie wymagane jest uprawnienie Fleet do odczytu ustawień. Konfiguracja proxy może zawierać poświadczenia uwierzytelniające proxy i materiały kluczy prywatnych, do których nie powinien mieć dostępu.

Stan przechowywany przez Kibana dla przepływu Observability Onboarding nie jest powiązany z użytkownikiem, który go utworzył, a trasy odczytujące i aktualizujące ten stan nie weryfikują własności. Uwierzytelniony użytkownik z ogólnym dostępem do odczytu przestrzeni może odkryć przepływy innych użytkowników, odczytać ich stan i zapisać dowolne dane. Zmodyfikowany przepływ może również spowodować błąd serwera w widoku onboardingu właściciela.

Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Specjalnie spreparowany request od uwierzytelnionego użytkownika z minimalnymi uprawnieniami do funkcji walidacji w funkcji analizy logów Observability powoduje nieograniczoną ilość równoległej pracy. Może to wyczerpać pamięć procesu Kibana i uczynić Kibana niedostępną dla wszystkich użytkowników do czasu restartu.

Kibana ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639), umożliwiającą nieautoryzowane wykonywanie zapytań przeciwko agentom Elastic przypisanym do przestrzeni, do której użytkownik nie ma dostępu. Użytkownik uprawniony do uruchamiania zapytań Osquery w jednej przestrzeni może wykonać zapytanie na hostach należących do innej przestrzeni, co prowadzi do ujawnienia informacji z tych hostów do strumienia danych wyników Osquery.

Brak autoryzacji w Kibana umożliwia nieautoryzowane wykonywanie akcji odpowiedzi Osquery i Elastic Defend na zarządzanych hostach. Użytkownik Kibana, który może tworzyć i oceniać reguły wykrywania Elastic Security, może wywołać akcje odpowiedzi na zarejestrowanych agentach bez posiadania odpowiednich uprawnień.

Kibana ma podatność na brak autoryzacji (CWE-862), umożliwiającą nieautoryzowane wykonywanie akcji odpowiedzi Elastic Defend na zarządzanych hostach. Użytkownik z uprawnieniami tylko do tworzenia reguł detekcji dla Elastic Security może powiązać automatyczne akcje odpowiedzi endpoint z regułą detekcji, mimo że nie ma dedykowanych uprawnień do akcji endpoint. Gdy reguła generuje alerty, akcje są wykonywane na pasujących hostach.

Kibana ma podatność na nieefektywną złożoność algorytmiczną (CWE-407), prowadzącą do denial of service przez manipulację danymi wejściowymi. Specjalnie spreparowane, głęboko zagnieżdżone wyrażenie przesłane do wizualizacji TSVB jest oceniane z kosztem rosnącym nieproporcjonalnie do rozmiaru wejścia. Ponieważ ocena działa synchronicznie, pojedynczy request zajmuje wątek przetwarzania Kibany na czas nieokreślony, a Kibana przestaje odpowiadać na wszystkie dalsze requesty do czasu restartu.

Kibana ma podatność na brak autoryzacji (CWE-862), prowadzącą do ujawnienia informacji. Wewnętrzna funkcja pobierania danych używana przez akcje odpowiedzi Elastic Defend nie egzekwowała uprawnień Security Solution i endpoint, a dane pobierała z podwyższonymi wewnętrznymi uprawnieniami. Uwierzytelniony użytkownik z niskimi uprawnieniami, bez uprawnień Security Solution, endpoint i Elasticsearch, mógł odczytać rekordy akcji odpowiedzi i treść odpowiedzi od zarządzanych hostów.

Nieobsłużony wyjątek w Kibana, wynikający z nieprawidłowej walidacji danych wejściowych, może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z niskimi uprawnieniami może wysłać specjalnie spreparowane dane, które powodują wewnętrzny błąd i zakończenie procesu Kibana. Kibana jest niedostępna dla wszystkich użytkowników do czasu ponownego uruchomienia usługi, a warunek może być wywoływany wielokrotnie.

Nieograniczona alokacja zasobów w Kibana może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z niskimi uprawnieniami może wysłać specjalnie spreparowany, nieprawidłowy ładunek do funkcji wizualizacji, co powoduje niekontrolowany wzrost zużycia pamięci. Proces Kibana zostaje zakończony po wyczerpaniu pamięci, a usługa staje się niedostępna do czasu restartu.

Podatność na Cross-Site Request Forgery w Kibana umożliwia eskalację uprawnień. Użytkownik z uprawnieniami do tworzenia wizualizacji może zapisać specjalnie spreparowaną wizualizację Vega, która po otwarciu przez innego użytkownika wysyła uwierzytelnione żądania do Kibana w kontekście sesji ofiary.

Nieprawidłowo kontrolowana modyfikacja dynamicznie określanych atrybutów obiektów w funkcji zarządzania przypadkami Elastic Security w Kibana może prowadzić do nieautoryzowanej modyfikacji danych przypadków. Uwierzytelniony użytkownik bez uprawnień do edycji przypadków może zmienić rekordy przypadków, do których ma tylko dostęp do odczytu, wykorzystując API zarządzania przypadkami, które nie egzekwuje autoryzacji w taki sam sposób jak interfejs użytkownika.

Nieograniczona alokacja zasobów w Kibana może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z uprawnieniami do zarządzania oknami konserwacji może wysłać specjalnie spreparowany, nieprawidłowy ładunek, który powoduje nadmierne zużycie zasobów przez proces Kibana. Kibana staje się nieodpowiedzialna dla wszystkich użytkowników i nie odzyskuje sprawności bez ręcznej interwencji.

Nieograniczona alokacja zasobów w Kibana może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu funkcji alertów może wysłać specjalnie spreparowany, nieprawidłowy ładunek, który powoduje nadmierne zużycie zasobów przez proces Kibana. Pojedyncze żądanie wystarczy, aby Kibana przestała obsługiwać żądania dla wszystkich użytkowników do czasu restartu procesu.

Obejście autoryzacji przez klucz kontrolowany przez użytkownika w Kibana może prowadzić do ujawnienia informacji. Uwierzytelniony użytkownik z uprawnieniami do odczytu reguł alertów w jednej przestrzeni Kibana może pobrać telemetrię wykonania reguł alertów należących do przestrzeni, do których nie ma dostępu. Ujawniona telemetria obejmuje identyfikatory reguł, nazwy reguł, identyfikatory przestrzeni, wyniki wykonania, znaczniki czasu i liczniki wykonania.

Kibana Agent Builder porównuje właściciela prywatnego agenta na podstawie nazwy użytkownika, gdy brakuje stabilnego identyfikatora. Nazwa użytkownika nie jest unikalna w różnych realmach uwierzytelniania Elasticsearch, co powoduje, że dwóch różnych użytkowników o tej samej nazwie jest traktowanych jako ten sam właściciel.

Podatność typu Authorization Bypass Through User-Controlled Key w Kibana umożliwia nieautoryzowany dostęp między przestrzeniami. Użytkownik może uzyskać dostęp do wyników inferencji z wytrenowanego modelu w innej przestrzeni, do której nie ma uprawnień, a także może zatrzymać lub zmienić zasoby aktywnego wdrożenia modelu.

Nieobsłużony wyjątek w Kibana Cases może prowadzić do odmowy usługi poprzez manipulację danymi wejściowymi. Złośliwa składnia linku zapisana w komentarzu do przypadku nie została odrzucona ani oczyszczona podczas formatowania do wyświetlenia, a wynikający z tego nieobsłużony błąd uniemożliwił wyświetlenie danego przypadku. Uwierzytelniony użytkownik z uprawnieniami do komentowania mógł zapisać taki komentarz, po czym ten przypadek stał się niedostępny dla wszystkich użytkowników, dopóki komentarz nie został usunięty.

Alokacja zasobów bez limitów lub ograniczania w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację. Wyrażenie zapytania akceptowane przez operację raportowania łącznika było przetwarzane bez żadnego limitu rozmiaru, a zbyt duże wyrażenie powodowało, że proces Kibana spędzał nieograniczoną ilość czasu na jego ocenie. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu mógł wysłać pojedyncze żądanie, które pozostawiało Kibana niezdolnym do obsługi jakiegokolwiek użytkownika aż do ponownego uruchomienia procesu.

Brak autoryzacji (CWE-862) w Kibanie umożliwia nieautoryzowane ujawnienie informacji między przestrzeniami poprzez dane wejściowe użytkownika, które omijają kontrolę dostępu na poziomie przestrzeni.

Nie kontrolowane zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130). Uwierzytelniony użytkownik z niskimi uprawnieniami może wysłać specjalnie spreparowane żądanie do funkcji uczenia maszynowego Kibany, powodując wyczerpanie dostępnej pamięci serwera i uniemożliwienie dostępu wszystkim użytkownikom.

Nie kontrolowane zużycie zasobów (CWE-400) w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację (CAPEC-130). Uwierzytelniony atakujący z niskimi uprawnieniami może wywołać stan odmowy usługi w Kibana, wysyłając specjalnie spreparowany, zbyt duży ładunek żądania. Przetwarzanie tego wejścia wymaga intensywnej alokacji pamięci, która może wyczerpać dostępną pamięć sterty w procesie Kibana, powodując jego awarię i uniemożliwienie dostępu wszystkim użytkownikom.

Podatność w Kibanie polegająca na obejściu autoryzacji przez kontrolowany przez użytkownika klucz (CWE-639). Atakujący może wykorzystać identyfikatory dostarczone przez użytkownika, aby uzyskać dostęp do danych wyników zaplanowanych zapytań z przestrzeni Kibana, do których nie ma uprawnień.

W Kibanie wykryto podatność nieprawidłowej autoryzacji w funkcjonalności Machine Learning. Niskouprzywilejowany użytkownik może manipulować rekordami audytu i powiadomień ML dla dowolnych zadań, w tym w innych przestrzeniach, wykorzystując wewnętrznie podniesione poświadczenia Kibany.

Brak autoryzacji (CWE-862) w Kibanie może prowadzić do nieautoryzowanego ujawnienia informacji poprzez nadużycie uprawnień. Użytkownik z ograniczonymi uprawnieniami funkcji może uzyskać dostęp do wyników wykonania workflow w swojej przestrzeni Kibany bez wymaganej autoryzacji przez udokumentowane API. Dostępne dane mogą zawierać wrażliwe informacje zwrócone przez kroki workflow, takie jak wyniki z podłączonych źródeł danych, do których wywołujący nie byłby inaczej upoważniony.

Kibana ma podatność związaną z niekompletną listą niedozwolonych danych wejściowych (CWE-184). Uwierzytelniony atakujący z dostępem do funkcji Reporting może ominąć ograniczenia wychodzących żądań skonfigurowane przez administratora.

Brak autoryzacji (CWE-862) w Kibanie pozwala uwierzytelnionemu użytkownikowi na dostęp i modyfikację konfiguracji Cloud Connect oraz ustawień usługi bez wymaganych uprawnień funkcji, poprzez bezpośrednie żądania do niewystarczająco chronionych punktów końcowych produktu.

Podatność w Kibanie (CWE-400) prowadząca do odmowy usługi przez nadmierną alokację. Uwierzytelniony niskouprzywilejowany użytkownik może wysłać specjalnie spreparowane żądanie do funkcji Canvas, powodując zatrzymanie procesu Kibana.

Podatność typu Authorization Bypass Through User-Controlled Key (CWE-639) w Kibanie umożliwia nieautoryzowane ujawnienie informacji i naruszenie integralności załączników spraw. Niskouprzywilejowany uwierzytelniony użytkownik może odczytywać, modyfikować i usuwać załączniki spraw, do których nie ma uprawnień, w tym załączniki związane z Security Solution.

Podatność związana z nieprawidłową kontrolą dostępu (CWE-284) w Kibanie umożliwia nieautoryzowaną modyfikację konfiguracji list obserwacyjnych Entity Analytics oraz potencjalny wyciek informacji. Uwierzytelniony użytkownik z niskimi uprawnieniami i dostępem tylko do odczytu do Security Solution może wykonywać operacje zapisu na danych list obserwacyjnych, które wymagają podwyższonych uprawnień.

Niezamierzony pośrednik (Confused Deputy, CWE-441) w Kibanie może prowadzić do nieautoryzowanego ujawnienia informacji. W określonych warunkach użytkownik z niższymi uprawnieniami może spowodować przetworzenie danych z nieautoryzowanych źródeł przy użyciu uprawnień innego użytkownika.

Podatność w Kibanie pozwala uwierzytelnionemu użytkownikowi na wysłanie specjalnie spreparowanego żądania do punktów końcowych Entity Analytics, które zawiera zbyt dużą wartość wejściową, powodując nadmierne zużycie zasobów i uniemożliwienie działania Kibany.

Podatność CWE-117 w Kibanie umożliwia wstrzykiwanie niesanitowanych danych do logów. Atakujący może dostarczyć specjalnie spreparowane dane wejściowe, które bez odpowiedniej neutralizacji trafiają do plików logów. Po wyświetleniu logów w terminalu interpretującym sekwencje sterujące, wstrzyknięta treść może zmienić wyświetlane dane.

Podatność CVE-2026-56151 w Kibanie wynika z nieprawidłowej walidacji danych wejściowych (CWE-20). Uwierzytelniony użytkownik może przesłać specjalnie spreparowane dane wejściowe polityki Fleet, co prowadzi do odmowy usługi (DoS) poprzez manipulację danymi wejściowymi (CAPEC-153). Atak ten uniemożliwia działanie zarządzania agentami Fleet, serwerem oraz politykami.

Podatność CVE-2026-49088 w Kibanie umożliwia wstawianie wrażliwych informacji do plików dziennika. Gdy opcjonalne monitorowanie wydajności aplikacji (APM) jest włączone, wrażliwe wartości nagłówków żądań mogą być rejestrowane w logach aplikacji.

Podatność CWE-770 w Kibanie umożliwia atak DoS poprzez nadmierną alokację zasobów. Uwierzytelniony użytkownik może wysłać spreparowane żądanie masowego usunięcia, powodując wyczerpanie zasobów i niedostępność Kibany.

Podatność w funkcji zarządzania politykami agentów Fleet w Kibanie umożliwia eskalację uprawnień. Uwierzytelniony użytkownik z uprawnieniami do zarządzania Fleet może wstrzyknąć nieprawidłowo zweryfikowane wartości do mechanizmu nadpisywania konfiguracji, co prowadzi do wydania agentom Elastic kluczy API z podwyższonymi uprawnieniami Elasticsearch.

Podatność CWE-400 w Kibanie umożliwia atak DoS poprzez nadmierne zużycie zasobów. Uwierzytelniony użytkownik z dostępem na poziomie widza może wysłać żądanie z nadmiernie dużym wejściem do punktu końcowego zarządzania kolekcjami analitycznymi. Kibana zużywa nadmierne zasoby CPU i pamięci podczas przetwarzania żądania, co prowadzi do niedostępności usługi dla wszystkich użytkowników do czasu ręcznego odzyskania.

Podatność SSRF (CWE-918) w Kibanie umożliwia uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania konektorami ominięcie listy dozwolonych konektorów skonfigurowanej przez operatora. W rezultacie serwer Kibana może wysyłać żądania do miejsc docelowych, które kontrola ruchu wychodzącego miała blokować.