CVE-2023-46675

Elastic tarafından, bir hata oluşması durumunda veya Kibana'da hata ayıklama (debug) seviyesi günlüğünün etkinleştirilmesi durumunda hassas bilgilerin Kibana günlüklerine kaydedilebileceği bir sorun keşfedilmiştir. Elastic, bu sorunu çözen Kibana 8.11.2 sürümünü yayınlamıştır. Günlüğe kaydedilen mesajlar; kibana_system kullanıcısı için hesap kimlik bilgilerini, API Anahtarlarını ve Kibana son kullanıcılarının kimlik bilgilerini, özel anahtarlar içerebilen Elastic Security paket politikası nesnelerini, taşıyıcı belirteçleri (bearer token), üçüncü taraf entegrasyon oturumlarını ve son olarak Yetkilendirme başlıklarını, istemci gizli anahtarlarını (client secrets), yerel dosya yollarını ve yığın izlerini (stack traces) içerebilir. Sorun, Elasticsearch ile iletişim kurarken beklenmedik bir hata alabilen ve bu nedenle hassas verileri Kibana hata günlüklerine dahil eden etkilenmiş bir sürümü çalıştıran herhangi bir Kibana örneğinde meydana gelebilir. Ayrıca, Kibana'da hata ayıklama seviyesi günlüğü etkinleştirildiğinde belirli koşullar altında da ortaya çıkabilir. Not: Benzer bir sorun için Kibana 8.11.1 sürümündeki ESA-2023-25 düzeltmesinin eksik olduğu tespit edilmiştir.