Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04796

Опубликовано: 19 фев. 2019
Источник: fstec
CVSS3: 9
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость компонента xpack.security.audit.enabled сервиса визуализации данных Kibana связана с недостаточной проверкой аргументов, передаваемых в команду. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды

Вендор

Red Hat Inc.
Elastic NV

Наименование ПО

OpenShift Container Platform
Kibana

Версия ПО

3.11 (OpenShift Container Platform)
до 5.6.15 (Kibana)
от 6.0.0 до 6.6.1 (Kibana)
4.1.18 (OpenShift Container Platform)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/errata/RHBA-2019:2824
https://access.redhat.com/errata/RHSA-2019:2860
Для Kibana:
https://discuss.elastic.co/t/elastic-stack-6-6-1-and-5-6-15-security-update/169077/1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 78%
0.01098
Низкий

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
redhat
почти 7 лет назад

Kibana versions before 6.6.1 contain an arbitrary code execution flaw in the security audit logger. If a Kibana instance has the setting xpack.security.audit.enabled set to true, an attacker could send a request that will attempt to execute javascript code. This could possibly lead to an attacker executing arbitrary commands with permissions of the Kibana process on the host system.

CVSS3: 9
nvd
почти 7 лет назад

Kibana versions before 6.6.1 contain an arbitrary code execution flaw in the security audit logger. If a Kibana instance has the setting xpack.security.audit.enabled set to true, an attacker could send a request that will attempt to execute javascript code. This could possibly lead to an attacker executing arbitrary commands with permissions of the Kibana process on the host system.

CVSS3: 9
debian
почти 7 лет назад

Kibana versions before 6.6.1 contain an arbitrary code execution flaw ...

CVSS3: 9
github
больше 3 лет назад

Kibana versions before 6.6.1 contain an arbitrary code execution flaw in the security audit logger. If a Kibana instance has the setting xpack.security.audit.enabled set to true, an attacker could send a request that will attempt to execute javascript code. This could possibly lead to an attacker executing arbitrary commands with permissions of the Kibana process on the host system.

EPSS

Процентиль: 78%
0.01098
Низкий

9 Critical

CVSS3

7.6 High

CVSS2