CVE-2026-72632
Açıklama
Kibana Fleet üzerindeki Gözlemlenebilir Tutarsızlık (CWE-203), Kazı (Excavation - CAPEC-116) yoluyla bilgi ifşasına yol açabilir. Fleet, kayıtlı bir Elastic Agent'ın Elasticsearch API anahtarı değerini ajan listeleme özelliğinin yanıtlarından kaldırmaktadır; ancak bu özellik, değeri tutan depolanan alan üzerinde çağırıcı tarafından sağlanan filtre ifadelerini kabul etmekte ve bunları çağırıcının yetkileri yerine Kibana'nın kendi dahili Elasticsearch ayrıcalıklarıyla değerlendirmektedir. Eşleşen ajan sayısı çağırıcıya bildirildiği için, eşleşen ve eşleşmeyen bir filtre arasındaki fark, kısa bir istek dizisiyle tam API anahtar değerinin karakter karakter yeniden oluşturulabileceği bir yan kanal oluşturmuştur.
Nasıl düzeltilir
- elastic kibana8.19.20, 9.4.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elastic kibana | 8.19.0 ≤ v < 8.19.20, 9.0.0 ≤ v < 9.4.5, 9.5.0 | 8.19.20, 9.4.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.