CVE-2024-37287

RCE w Kibana — prototype pollution przez ML i Alerting connector

CVSS 9.1v3.1pub. 2024-08-13upd. 2024-08-22

W aplikacji Kibana wykryto podatność umożliwiającą wykonanie dowolnego kodu (RCE) poprzez prototype pollution. Atakujący z odpowiednimi uprawnieniami może przejąć kontrolę nad serwerem Kibana.

▸ Pokaż oryginał (EN)

A flaw allowing arbitrary code execution was discovered in Kibana. An attacker with access to ML and Alerting connector features, as well as write access to internal ML indices can trigger a prototype pollution vulnerability, ultimately leading to arbitrary code execution.

🤖 Analiza AI

Jak działa

Podatność polega na możliwości wywołania prototype pollution (CWE-1321) przez atakującego posiadającego dostęp do funkcji ML (Machine Learning) oraz Alerting connector, a także uprawnienia do zapisu w wewnętrznych indeksach ML. Poprzez manipulację prototypami obiektów JavaScript możliwe jest wstrzyknięcie i wykonanie dowolnego kodu (CWE-94) po stronie serwera. Atak nie wymaga interakcji użytkownika, jednak wymaga podwyższonych uprawnień w aplikacji.

Skutki

Atakujący może wykonać dowolny kod na serwerze Kibana, co prowadzi do pełnego przejęcia instancji — w tym uzyskania dostępu do poufnych danych, modyfikacji konfiguracji oraz potencjalnego lateral movement w infrastrukturze.

Mitygacja

Należy zaktualizować Kibana do wersji 8.14.2 lub 7.17.23 zgodnie z informacją producenta opublikowaną pod adresem: https://discuss.elastic.co/t/kibana-8-14-2-7-17-23-security-update-esa-2024-22/. Dodatkowo, jako środek tymczasowy, warto ograniczyć dostęp do funkcji ML i Alerting connector wyłącznie do zaufanych użytkowników.

Kogo dotyczy

Elastic Kibana — wersje wskazane w referencjach producenta (poprawka dostarczona w wersjach 8.14.2 oraz 7.17.23)

Uwagi

Podatność wymaga posiadania uprawnień do funkcji ML oraz Alerting connector, a także uprawnień zapisu do wewnętrznych indeksów ML — co ogranicza powierzchnię ataku do użytkowników z podwyższonymi uprawnieniami w Kibana.