Компания Elastic выпустила экстренное обновление, направленное на устранение критической уязвимости в Kibana – популярном инструменте визуализации данных для Elasticsearch. Обнаруженная ошибка, зарегистрированная под идентификатором CVE-2025-25012 и оценённая в 9.9 баллов по шкале CVSS, связана с загрязнением прототипа, что позволяет злоумышленникам выполнять произвольный код удалённо.
Загрязнение прототипа представляет собой уязвимость, позволяющую манипулировать свойствами JavaScript-объектов в приложении через специально сконструированные HTTP-запросы и загрузку сформированных файлов. Такая эксплуатация способствует несанкционированному доступу к данным, эскалации привилегий, отказу в обслуживании и, в конечном итоге, выполнению удалённого кода.
Все версии Kibana от 8.15.0 до 8.17.3 оказались подвержены данной угрозе. В версиях от 8.15.0 до версии, не включая 8.17.1, возможность атаки имеется у пользователей с ролью Viewer. Для версий 8.17.1 и 8.17.2 эксплуатация возможна только при наличии привилегий «fleet-all», «integrations-all» или «actions:execute-advanced-connectors».
Рекомендуется как можно скорее обновиться до версии 8.17.3, где неисправность устранена. В случаях, когда обновление установить невозможно, временной мерой защиты является отключение функции Integration Assistant через изменение настройки в файле kibana.yml: «xpack.integration_assistant.enabled: false».
В августе 2024 года была устранена ещё одна критическая ошибка загрязнения прототипа в Kibana (CVE-2024-37287, CVSS 9.9), способная тоже приводить к выполнению кода, что подчёркивает необходимость оперативных мер безопасности.
В следующем месяце были исправлены две серьёзные проблемы десериализации: CVE-2024-37288, оценённая в 9.9 баллов по CVSS, и CVE-2024-37285, оценённая в 9.1 баллов. Обе уязвимости предоставляли злоумышленникам возможность выполнения произвольного кода, усиливая актуальность своевременных обновлений.
Эффективное управление обновлениями и корректная настройка параметров безопасности в Kibana являются решающими мерами для предотвращения атак, связанных с загрязнением прототипа и ошибками десериализации. Постоянный мониторинг безопасности помогает гарантировать защиту инфраструктуры от современных угроз.
Изображение носит иллюстративный характер
Загрязнение прототипа представляет собой уязвимость, позволяющую манипулировать свойствами JavaScript-объектов в приложении через специально сконструированные HTTP-запросы и загрузку сформированных файлов. Такая эксплуатация способствует несанкционированному доступу к данным, эскалации привилегий, отказу в обслуживании и, в конечном итоге, выполнению удалённого кода.
Все версии Kibana от 8.15.0 до 8.17.3 оказались подвержены данной угрозе. В версиях от 8.15.0 до версии, не включая 8.17.1, возможность атаки имеется у пользователей с ролью Viewer. Для версий 8.17.1 и 8.17.2 эксплуатация возможна только при наличии привилегий «fleet-all», «integrations-all» или «actions:execute-advanced-connectors».
Рекомендуется как можно скорее обновиться до версии 8.17.3, где неисправность устранена. В случаях, когда обновление установить невозможно, временной мерой защиты является отключение функции Integration Assistant через изменение настройки в файле kibana.yml: «xpack.integration_assistant.enabled: false».
В августе 2024 года была устранена ещё одна критическая ошибка загрязнения прототипа в Kibana (CVE-2024-37287, CVSS 9.9), способная тоже приводить к выполнению кода, что подчёркивает необходимость оперативных мер безопасности.
В следующем месяце были исправлены две серьёзные проблемы десериализации: CVE-2024-37288, оценённая в 9.9 баллов по CVSS, и CVE-2024-37285, оценённая в 9.1 баллов. Обе уязвимости предоставляли злоумышленникам возможность выполнения произвольного кода, усиливая актуальность своевременных обновлений.
Эффективное управление обновлениями и корректная настройка параметров безопасности в Kibana являются решающими мерами для предотвращения атак, связанных с загрязнением прототипа и ошибками десериализации. Постоянный мониторинг безопасности помогает гарантировать защиту инфраструктуры от современных угроз.
