Podatności Kibana

Wersje Kibana przed 5.2.1 skonfigurowane do dostępu przez SSL dla klientów nie oczyszczają deskryptorów plików po określonych żądaniach, co prowadzi do ich akumulacji w czasie aż do awarii procesu.

Kibana w wersjach przed 4.5.4 i 4.1.11, przy skonfigurowanym niestandardowym wyjściu do logowania, może zapisywać ciasteczka oraz nagłówki autoryzacji w plikach logów. Informacje te mogą być wykorzystane do przejęcia sesji innych użytkowników korzystających z Kibany za zabezpieczeniem, takim jak Shield.

Nieprawidłowa autoryzacja w Kibana może umożliwić nieautoryzowaną modyfikację konfiguracji poprzez wykorzystanie błędnie skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.

W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do ujawnienia informacji poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).

W Kibanie występuje podatność nieprawidłowej autoryzacji (CWE-863), która może prowadzić do odmowy usługi poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów zabezpieczeń kontroli dostępu (CAPEC-180).

W Kibanie występuje brak autoryzacji (CWE-862), który może prowadzić do nieautoryzowanej modyfikacji danych poprzez nadużycie uprawnień (CAPEC-122). Uwierzytelniony użytkownik z dostępem tylko do odczytu w jednej przestrzeni Kibana może wywołać operacje migracji Entity Analytics, które wykonują uprzywilejowane zapisy we wszystkich przestrzeniach Kibana, niezależnie od faktycznego zakresu dostępu użytkownika.

W Kibanie, w funkcji Fleet, występuje brak autoryzacji (CWE-862), który może prowadzić do ujawnienia informacji poprzez nadużycie uprawnień (CAPEC-122). Uwierzytelniony użytkownik z uprawnieniami odczytu agentów Fleet w jednej przestrzeni Kibana może wyliczyć metadane agentów i uzyskać dostęp do treści diagnostycznych agentów zarejestrowanych w innych przestrzeniach Kibana.

Niewystarczająco zweryfikowane pole konfiguracyjne w integracji Cribl w Kibanie pozwala uwierzytelnionemu użytkownikowi z uprawnieniami zarządzania Fleet na wstrzyknięcie wyrażeń kontrolowanych przez atakującego do szablonu skryptu po stronie serwera, co skutkuje zapisaniem potoku przetwarzania Elasticsearch poza dozwolonymi uprawnieniami Elasticsearch wywołującego.

Nieprawidłowa autoryzacja w Kibana może prowadzić do eskalacji uprawnień poprzez manipulację danymi wejściowymi. Deklaracje uprawnień klastra Elasticsearch pochodzące z pakietów integracyjnych nie były weryfikowane przed użyciem do tworzenia poświadczeń dla zarejestrowanych agentów Elastic.

Nieprawidłowa autoryzacja (CWE-863) w funkcji uczenia maszynowego w Kibanie może prowadzić do nieautoryzowanego zużycia zasobów poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu (CAPEC-180). Uwierzytelniony użytkownik może wywoływać funkcje uczenia maszynowego poza zakresem swojej autoryzacji, zużywając zasoby klastra, do których nie powinien mieć dostępu.

Brak autoryzacji w Kibana przy operacji konfiguracji Entity Store umożliwia uwierzytelnionemu użytkownikowi z podwyższonymi uprawnieniami Kibana pośrednie odczytanie indeksów Elasticsearch, do których nie ma uprawnień. Dane pochodne z tych indeksów są następnie ujawniane przez wyjście entity store.

Podatność typu Path Traversal w funkcji Fleet w Kibana umożliwia nieautoryzowane usunięcie wewnętrznych zasobów. Użytkownik z niskimi uprawnieniami i dostępem do zapisu Fleet może spowodować, że późniejsza akcja administracyjna usunie nieprzeznaczone zasoby wewnętrzne. Wymaga to interakcji administratora z interfejsem Fleet.

Nieprawidłowa autoryzacja w funkcji uczenia maszynowego w Kibana umożliwia ujawnienie informacji. Uwierzytelniony użytkownik z uprawnieniami do zarządzania zadaniami ML w jednej przestrzeni Kibana może spowodować, że zapisany obiekt zadania stanie się dostępny we wszystkich przestrzeniach, bez posiadania do nich uprawnień.

Podatność typu Path Traversal w funkcji Fleet w Kibana umożliwia nieautoryzowane usunięcie zasobów. Użytkownik z niskimi uprawnieniami może spowodować, że późniejsza akcja użytkownika z wyższymi uprawnieniami w interfejsie administracyjnym Fleet zadziała na nieprzeznaczony cel, prowadząc do usunięcia zasobów, w tym kont z podwyższonymi uprawnieniami.

Podatność typu Path Traversal w funkcji Fleet w Kibana umożliwia nieautoryzowane usunięcie uprzywilejowanych zasobów. Użytkownik z niskimi uprawnieniami i dostępem do zapisu ustawień Fleet może spowodować, że działania administratora wpłyną na nieprzeznaczone zasoby wewnętrzne, takie jak konta użytkowników.

Nieograniczona alokacja zasobów w Kibana może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z niskimi uprawnieniami może wysłać specjalnie spreparowane żądanie, które powoduje, że Kibana zużywa nieograniczoną ilość pamięci, czyniąc ją niedostępną dla wszystkich użytkowników.

Obserwowalna różnica odpowiedzi w funkcji Osquery w Kibana umożliwia ujawnienie informacji. Uwierzytelniony użytkownik z uprawnieniami do zapytań na żywo Osquery może określić, czy identyfikator zaplanowanego zapytania istnieje w przestrzeni Kibana, do której nie ma uprawnień.

Brak autoryzacji (CWE-862) w Kibana może prowadzić do ujawnienia informacji poprzez nadużycie uprawnień (CAPEC-122). Kontrola autoryzacji nie została zastosowana do wewnętrznej funkcji integracji APM w Kibana, co pozwala każdemu uwierzytelnionemu użytkownikowi Kibany na odczytanie poświadczeń serwera APM, które powinny być ograniczone do użytkowników z uprawnieniami administracyjnymi APM lub Fleet.

Nieprawidłowa autoryzacja (CWE-863) w Kibana może prowadzić do nieautoryzowanego ujawnienia, modyfikacji i usunięcia danych poprzez dostęp do funkcji nieodpowiednio ograniczonych przez listy kontroli dostępu (CAPEC-1). Gdy dwóch uwierzytelnionych użytkowników pochodzących z różnych domen uwierzytelniania ma tę samą nazwę użytkownika, jeden z nich może odczytywać, modyfikować i usuwać prywatne wpisy bazy wiedzy Asystenta AI Elastic drugiego użytkownika.

Brak autoryzacji (CWE-862) w Kibana może prowadzić do ujawnienia informacji poprzez wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu (CAPEC-180). Uwierzytelniony użytkownik posiadający minimalne uprawnienia Elasticsearch może ominąć autoryzację funkcji Kibana i kontrolę dostępu do przestrzeni, co prowadzi do nieautoryzowanego ujawnienia metadanych wdrożenia Fleet z domyślnej przestrzeni Kibana.

Brak autoryzacji w funkcji Entity Store w Kibanie umożliwia nieautoryzowane tworzenie poświadczeń. Uwierzytelniony użytkownik z niskimi uprawnieniami może wywołać operację administracyjną tworzącą klucze API Elasticsearch, omijając wymagane podniesione uprawnienia.

Nieprawidłowe ograniczenie ścieżki do katalogu (Path Traversal) w Kibana może prowadzić do nieautoryzowanego usunięcia uprzywilejowanych zasobów. Użytkownik z niskimi uprawnieniami posiadający uprawnienia do tworzenia tagów może spowodować, że późniejsza akcja administracyjna w interfejsie zarządzania tagami zadziała na niezamierzony cel, co skutkuje usunięciem uprzywilejowanych zasobów, w tym kont administracyjnych. Wykorzystanie wymaga interakcji administratora z dotkniętym interfejsem.

Podatność w Kibana polegająca na nieograniczonej alokacji zasobów (CWE-770) może prowadzić do odmowy usługi. Uwierzytelniony użytkownik z niskimi uprawnieniami Agent Builder może wysłać specjalnie spreparowane żądanie, które powoduje niekontrolowane zużycie pamięci i zakończenie procesu.

Podatność w funkcji uczenia maszynowego Kibana polegająca na wykonywaniu operacji z niepotrzebnymi uprawnieniami (CWE-250) może prowadzić do ujawnienia informacji. Operacja dostępna dla użytkowników z prawem tylko do odczytu była wykonywana z tożsamością usługi wewnętrznej, co pozwala na odczyt danych z indeksów Elasticsearch, do których użytkownik nie ma uprawnień.

Podatność w Kibana umożliwia uwierzytelnionemu użytkownikowi wysłanie specjalnie spreparowanego żądania, które powoduje nadmierne zużycie zasobów, co może doprowadzić do odmowy usługi (DoS) i uczynić Kibana niedostępnym.

Podatność w Kibana pozwala użytkownikowi z niskimi uprawnieniami (dostęp do Observability AI Assistant) na wysłanie specjalnie spreparowanego żądania, które powoduje nieobsłużony błąd i zakończenie procesu Kibana, co prowadzi do odmowy usługi dla wszystkich użytkowników do czasu restartu.

Podatność w Kibana umożliwia uwierzytelnionemu użytkownikowi z dostępem tylko do odczytu w Security Solution w przestrzeni Kibana na zmianę stanu zadań utrzymania Entity Store, co może cicho wyłączyć konserwację Entity Analytics dla tej przestrzeni.

Podatność w Kibana Entity Analytics pozwala użytkownikowi z dostępem tylko do odczytu w Security i bez uprawnień Elasticsearch na zatrzymanie cyklicznego zadania silnika Privilege Monitoring dla przestrzeni Kibana, co powoduje zaprzestanie generowania danych monitorowania dla tej przestrzeni, podczas gdy silnik nadal raportuje stan zdrowy.

Podatność w Kibana związana z obsługą wysoko skompresowanych danych pozwala uwierzytelnionemu użytkownikowi z uprawnieniami do zarządzania Streams na dostarczenie specjalnie spreparowanej treści, która podczas przetwarzania rozszerza się do znacznie większej objętości, wyczerpując pamięć Kibana i powodując zakończenie procesu przez hosta.

Podatność w Kibana umożliwia uwierzytelnionemu użytkownikowi z dostępem do funkcji zapytań na wstrzyknięcie NoSQL, co może zmienić logikę zapytania i zwrócić dane, do których użytkownik nie jest autoryzowany.

Podatność nieprawidłowej autoryzacji w Kibana może prowadzić do eskalacji uprawnień. Użytkownik z uprawnieniami do edycji przepływów pracy może spowodować, że zaplanowane wykonania przepływów będą działać z uprawnieniami innego, bardziej uprzywilejowanego użytkownika, umożliwiając dostęp i modyfikację danych poza zakresem autoryzacji.

Podatność w Kibana umożliwia uwierzytelnionemu użytkownikowi z niskimi uprawnieniami wysłanie specjalnie spreparowanego żądania, które powoduje nadmierne zużycie zasobów, co może doprowadzić do niedostępności Kibana.

Podatność typu Authorization Bypass Through User-Controlled Key (CWE-639) w Kibana może prowadzić do nieautoryzowanej modyfikacji danych poprzez dostęp do funkcji nieodpowiednio ograniczonych przez ACL. W pewnych warunkach uwierzytelniony użytkownik może odwołać się do identyfikatora rozmowy asystenta AI innego użytkownika, aby uzyskać dostęp lub zmodyfikować rozmowę, której nie posiada. Skuteczne wykorzystanie wymaga znajomości trudnego do odgadnięcia identyfikatora.

Kibana Agent Builder nie weryfikuje poprawnie, czy żądający użytkownik posiada uprawnienia wymagane przez oddzielną funkcję Kibany, zanim utworzy i uruchomi narzędzie, które wywołuje funkcjonalność tej funkcji. Umożliwia to eskalację uprawnień i może prowadzić do ujawnienia wrażliwych informacji, do których użytkownik nie jest upoważniony.

Punkt końcowy A2A JSON-RPC API w Kibana Agent Builder wyprowadza identyfikator przechowywanej rozmowy z danych dostarczonych przez użytkownika, a kontrola własności tego identyfikatora nie rozróżnia między rozmową, która nie istnieje, a taką, która istnieje, ale należy do innego użytkownika. W rezultacie uwierzytelniony użytkownik posiadający tylko uprawnienie do odczytu Agent Builder może podać identyfikator już używany przez innego użytkownika w tej samej przestrzeni i spowodować zastąpienie rozmowy tego użytkownika oraz przypisanie jej do konta żądającego. Pierwotny właściciel trwale traci dostęp do rozmowy i jej historii. Wpływ jest ograniczony do utraty integralności i dostępności danej rozmowy; atakujący nie odczytuje nadpisanej treści.

Kibana zawiera podatność Relative Path Traversal (CWE-23), która może prowadzić do nieautoryzowanego usuwania zasobów Kibana. Kibana Fleet akceptuje identyfikator dostarczony przez użytkownika dla konfiguracji hosta Fleet Server bez odrzucania sekwencji względnych ścieżek. Identyfikator jest przechowywany i później używany w żądaniu usunięcia konfiguracji.

Kibana zawiera podatność Missing Authorization (CWE-862), która może prowadzić do ujawnienia informacji między przestrzeniami i nieautoryzowanej modyfikacji danych. Kibana Machine Learning wykonuje operacje Elasticsearch z podwyższonymi wewnętrznymi uprawnieniami i polega na filtrze przestrzeni, aby oddzielić dane ML między przestrzeniami. Część funkcji ML nie stosowała tego filtra, więc operacje z jednej przestrzeni były wykonywane na danych ML wszystkich przestrzeni.

Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Lista pól dokumentów dostarczana przez użytkownika w funkcji Playground dla RAG nie jest ograniczona pod względem długości ani nie jest deduplikowana przed użyciem do budowy odpowiedzi. Pojedynczy spreparowany request może spowodować, że Kibana zbuduje odpowiedź znacznie większą niż dane źródłowe, wyczerpując zasoby instancji.

Kibana ma podatność na nieprawidłową autoryzację (CWE-863), umożliwiającą nieautoryzowane usuwanie prywatnych lokalizacji Synthetics. Lokalizacje mogą być współdzielone między przestrzeniami, a zabezpieczenie przed usuwaniem sprawdza tylko monitory widoczne w przestrzeni użytkownika. Uwierzytelniony użytkownik z uprawnieniami do zapisu Synthetics w jednej przestrzeni może usunąć lokalizację, od której zależą inne przestrzenie, nawet bez dostępu do nich.

Funkcja Elastic Security, która sugeruje istniejące wartości pól podczas tworzenia polityk endpoint, wysyła zapytania do danych Elastic Defend przy użyciu wewnętrznego konta Elasticsearch Kibana zamiast konta użytkownika. Sprawdzane są tylko uprawnienia funkcji Kibana, a nie uprawnienia indeksów Elasticsearch. Uwierzytelniony użytkownik z uprawnieniami funkcji Elastic Security, ale bez dostępu do odczytu indeksów Elastic Defend, może pobrać wartości pól, w tym argumenty wiersza poleceń procesów, które często zawierają tokeny, poświadczenia i inne wrażliwe dane.

Funkcja Kibana Machine Learning, która usuwa obiekt zapisany z bieżącej przestrzeni, akceptuje wytrenowane modele jako cel, ale weryfikuje tylko uprawnienia dotyczące zadań wykrywania anomalii i analizy ramek danych. Użytkownik z uprawnieniami do tworzenia tych zadań, ale bez uprawnień do modeli, może usunąć wytrenowany model z przestrzeni. Model nie jest usuwany i pozostaje dostępny w innych przestrzeniach, a zmiana może być cofnięta przez uprawnionego użytkownika.

Użytkownik z niższymi uprawnieniami, posiadający tylko uprawnienie do odczytu polityk agentów, może odczytać całą konfigurację skonfigurowanego proxy Fleet. Normalnie wymagane jest uprawnienie Fleet do odczytu ustawień. Konfiguracja proxy może zawierać poświadczenia uwierzytelniające proxy i materiały kluczy prywatnych, do których nie powinien mieć dostępu.

Stan przechowywany przez Kibana dla przepływu Observability Onboarding nie jest powiązany z użytkownikiem, który go utworzył, a trasy odczytujące i aktualizujące ten stan nie weryfikują własności. Uwierzytelniony użytkownik z ogólnym dostępem do odczytu przestrzeni może odkryć przepływy innych użytkowników, odczytać ich stan i zapisać dowolne dane. Zmodyfikowany przepływ może również spowodować błąd serwera w widoku onboardingu właściciela.

Kibana ma podatność na niekontrolowaną alokację zasobów (CWE-770), prowadzącą do denial of service przez nadmierną alokację. Specjalnie spreparowany request od uwierzytelnionego użytkownika z minimalnymi uprawnieniami do funkcji walidacji w funkcji analizy logów Observability powoduje nieograniczoną ilość równoległej pracy. Może to wyczerpać pamięć procesu Kibana i uczynić Kibana niedostępną dla wszystkich użytkowników do czasu restartu.

Kibana ma podatność na obejście autoryzacji przez klucz kontrolowany przez użytkownika (CWE-639), umożliwiającą nieautoryzowane wykonywanie zapytań przeciwko agentom Elastic przypisanym do przestrzeni, do której użytkownik nie ma dostępu. Użytkownik uprawniony do uruchamiania zapytań Osquery w jednej przestrzeni może wykonać zapytanie na hostach należących do innej przestrzeni, co prowadzi do ujawnienia informacji z tych hostów do strumienia danych wyników Osquery.

Brak autoryzacji w Kibana umożliwia nieautoryzowane wykonywanie akcji odpowiedzi Osquery i Elastic Defend na zarządzanych hostach. Użytkownik Kibana, który może tworzyć i oceniać reguły wykrywania Elastic Security, może wywołać akcje odpowiedzi na zarejestrowanych agentach bez posiadania odpowiednich uprawnień.

Kibana ma podatność na brak autoryzacji (CWE-862), umożliwiającą nieautoryzowane wykonywanie akcji odpowiedzi Elastic Defend na zarządzanych hostach. Użytkownik z uprawnieniami tylko do tworzenia reguł detekcji dla Elastic Security może powiązać automatyczne akcje odpowiedzi endpoint z regułą detekcji, mimo że nie ma dedykowanych uprawnień do akcji endpoint. Gdy reguła generuje alerty, akcje są wykonywane na pasujących hostach.

Kibana ma podatność na nieefektywną złożoność algorytmiczną (CWE-407), prowadzącą do denial of service przez manipulację danymi wejściowymi. Specjalnie spreparowane, głęboko zagnieżdżone wyrażenie przesłane do wizualizacji TSVB jest oceniane z kosztem rosnącym nieproporcjonalnie do rozmiaru wejścia. Ponieważ ocena działa synchronicznie, pojedynczy request zajmuje wątek przetwarzania Kibany na czas nieokreślony, a Kibana przestaje odpowiadać na wszystkie dalsze requesty do czasu restartu.

Kibana ma podatność na brak autoryzacji (CWE-862), prowadzącą do ujawnienia informacji. Wewnętrzna funkcja pobierania danych używana przez akcje odpowiedzi Elastic Defend nie egzekwowała uprawnień Security Solution i endpoint, a dane pobierała z podwyższonymi wewnętrznymi uprawnieniami. Uwierzytelniony użytkownik z niskimi uprawnieniami, bez uprawnień Security Solution, endpoint i Elasticsearch, mógł odczytać rekordy akcji odpowiedzi i treść odpowiedzi od zarządzanych hostów.