Patch Ticker

Kibana 여러 기능에서 권한 우회와 정보 노출 문제

회사 로그 분석 도구에서 로그인한 사용자가 남의 기록과 설정을 엿볼 수 있습니다.

요약

Kibana의 머신러닝, 관측 데이터 온보딩, Fleet, 커넥터 기능에서 로그인한 사용자가 권한이 없는 정보를 보거나 리소스를 지울 수 있습니다. 해당 기능을 쓰는 Kibana 사용자와 관리자가 영향을 받습니다.

해당 조건

  • Kibana 공간 하나에 Machine Learning 읽기 권한이 있는 인증된 사용자
  • Observability 데이터 온보딩 권한이 있는 인증된 사용자
  • Elasticsearch 접속 자격 증명이 Kibana 설정의 호스트 URL에 들어 있는 경우
  • Fleet agent policies 쓰기 권한이 있는 낮은 권한 사용자와 이를 처리하는 관리자
  • Kibana 공간 하나에 커넥터 읽기 권한이 있는 인증된 사용자

대처법

Elastic 공지에서 수정 버전을 확인하세요. 실행 중인 Kibana가 8.19.23 이하, 9.4.8 이하, 9.5.5 이하 중 하나라면 취약하니 더 새 버전으로 업데이트하고 공지를 읽으세요.

대상 제품과 운영체제

  • Windows
  • macOS
  • Linux
  • Kibana

CVE 번호

원문 링크

시각

처음 게시

처음 확인