Paul

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Descrição** O Consumo Não Controlado de Recursos no Kibana pode levar a uma negação de serviço via Alocação Excessiva. Um usuário autenticado com uma função de baixo privilégio pode enviar um payload superdimensionado e especialmente elaborado para uma API interna do Kibana, fazendo com que o processo esgote os recursos disponíveis e fique irresponsivo para todos os usuários até que o serviço se recupere ou seja reiniciado. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** O Consumo Não Controlado de Recursos no Kibana pode levar a uma negação de serviço por meio de alocação excessiva. Um usuário autenticado com acesso de nível de visualizador pode enviar uma solicitação contendo um valor de entrada excessivo para um endpoint de gerenciamento de coleções de análise. Isso faz com que o sistema consuma recursos excessivos de CPU e memória durante o processamento, tornando o Kibana indisponível para todos os usuários até que o serviço seja recuperado manualmente. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** Server-Side Request Forgery (SSRF) permite que usuários autenticados com privilégios de gerenciamento de conectores ignorem a lista de permissões de conexão configurada pelo operador. Ao configurar um conector de Webhook com um alvo manipulado, um invasor pode fazer com que o sistema emita solicitações externas para destinos que os controles de restrição de egresso deveriam bloquear. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** Um usuário autenticado de baixo privilégio pode causar uma negação de serviço ao enviar uma expressão de visualização do Timelion especialmente elaborada contendo chamadas de função profundamente encadeadas. Isso leva ao consumo descontrolado de recursos por meio de alocação excessiva, onde a estrutura de dados resultante cresce sem limites, esgotando a memória disponível e fazendo com que o serviço trave. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Descrição** Um problema de path traversal existe na funcionalidade de gerenciamento de dashboards. Um usuário autenticado com permissões limitadas pode criar um dashboard usando um identificador especialmente elaborado. Se um administrador tentar excluir este dashboard, a solicitação é redirecionada para um endpoint interno não pretendido, o que pode levar à exclusão não autorizada de contas de usuário ou outros recursos. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** A validação inadequada de entrada no recurso de gerenciamento de políticas de agentes do Kibana Fleet permite que um usuário autenticado com privilégios de gerenciamento do Fleet escale privilégios. Ao injetar valores em um mecanismo de substituição de configuração que não é validado adequadamente, um invasor pode fazer com que os Agentes Elastic recebam chaves de API com privilégios elevados do Elasticsearch. Isso pode conceder acesso não autorizado de leitura e gravação a índices de segurança sensíveis do Elasticsearch, excedendo as permissões pretendidas para a função de gerenciamento do Fleet. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** O Consumo Não Controlado de Recursos no Kibana pode levar a uma negação de serviço por meio de alocação excessiva. Um usuário autenticado pode enviar um payload de requisição compactado especialmente criado que é processado antes das verificações de autorização, resultando em consumo excessivo de memória e CPU, o que pode fazer com que a instância fique irresponsiva ou trave. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** A neutralização inadequada de entradas durante a geração de páginas web permite a injeção de HTML armazenado. Um usuário com acesso de escrita a um índice do Elasticsearch pode persistir marcações manipuladas que não são suficientemente sanitizadas quando renderizadas através de uma visualização do Kibana por outro usuário. Isso pode resultar em manipulação não autorizada da interface do usuário e requisições de rede externas emitidas a partir da sessão do navegador do usuário que visualiza o conteúdo. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** Um usuário autenticado com privilégios de gerenciamento de conectores pode realizar um Server-Side Request Forgery (SSRF), que é uma falha que permite a um invasor induzir a aplicação do lado do servidor a fazer requisições para um local não pretendido. Isso permite que o usuário ignore a lista de permissões de conectores configurada pelo operador, fazendo com que o servidor Kibana envie requisições externas para destinos que os controles de egresso deveriam bloquear. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kibana (versões afetadas não especificadas) **Description** Um erro de lógica na validação de carimbos de data/hora de expiração permite que um token de acesso com tempo limitado permaneça utilizável após o fechamento de sua janela de validade pretendida. Isso permite que um ator não autenticado que possua o token recupere o conteúdo associado após a expiração do token, levando à divulgação não autorizada de informações. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Elastic Package Registry (versões afetadas não especificadas) **Descrição** A Verificação Imprópria de Assinatura Criptográfica ocorre no Elastic Package Registry. Este problema permite que um invasor que possa interceptar o tráfego de rede ou influenciar o conteúdo fornecido a um registro auto-hospedado substitua um pacote adulterado sem que a verificação de integridade falhe. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Name of the Vulnerable Software and Affected Versions Kibana versões (versões afetadas não especificadas) Description Kibana One Workflow contém uma questão de Server-Side Request Forgery (CWE-918) que pode levar à divulgação de informações. Um usuário autenticado com privilégios de criação e execução de fluxo de trabalho pode ignorar as restrições da lista de permissões do host no Workflows Execution Engine, expondo potencialmente endpoints e dados internos confidenciais. Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Name of the Vulnerable Software and Affected Versions Kibana (affected versions not specified) Description Um usuário autenticado com acesso ao recurso de importação automática pode enviar solicitações especialmente criadas com valores de entrada excessivamente grandes. Quando várias dessas solicitações são enviadas simultaneamente, os serviços de backend se tornam instáveis, resultando em interrupção do serviço e indisponibilidade da implantação para todos os usuários. Esta questão é devido à alocação excessiva. Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Name of the Vulnerable Software and Affected Versions Kibana (versões afetadas não especificadas) Description Os manipuladores de rota de depuração do plugin Fleet do Kibana exibem execução com privilégios desnecessários, permitindo potencialmente que usuários autenticados com privilégios de sub-recurso Fleet leiam dados de índice além do escopo autorizado de RBAC do Elasticsearch. Isso ocorre por meio de abuso de privilégios. Recommendations Atualmente, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** Metricbeat (affected versions not specified) **Description** A memory allocation issue exists within the Prometheus remote write HTTP handler in Metricbeat. This issue, categorized as excessive allocation (CAPEC-130), can lead to a denial of service (CWE-789). The problem stems from a memory allocation with an excessively large size value. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Packetbeat (affected versions not specified) **Description** An improper validation of array index can lead to a denial of service through input data manipulation. An attacker positioned on the same network segment as the Packetbeat deployment, or controlling traffic routed to monitored interfaces, can send specially crafted, malformed network packets to a monitored network interface. This can trigger out-of-bounds read operations, resulting in application crashes or resource exhaustion. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Kibana (affected versions not specified) **Description** A missing authorization issue (CWE-862) exists in Kibana’s server-side Detection Rule Management. This can allow an authenticated attacker with rule management privileges to perform unauthorized endpoint response actions, including host isolation, process termination, and process suspension, exploiting CAPEC-1 (Accessing Functionality Not Properly Constrained by ACLs). The issue involves improper access control restrictions, potentially allowing unauthorized configuration changes. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Kibana (affected versions not specified) **Description** An improper validation of the quantity specified in input within the Timelion visualization plugin can lead to a denial of service through excessive allocation. An authenticated user can send a specially crafted Timelion expression that overwrites internal series data properties with an excessively large quantity value. This issue is related to CAPEC-130 and CWE-1284. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Kibana (affected versions not specified) **Description** An issue exists in the Timelion component that allows for Denial of Service through manipulation of input data, resulting in uncontrolled resource consumption. This can lead to a disruption of service. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Kibana (affected versions not specified) **Description** An attacker with view-only privileges can cause a Denial of Service through Input Data Manipulation. A specially crafted payload can lead to excessive resource consumption, potentially making Kibana unresponsive or causing it to crash. The issue stems from improper validation of the specified quantity in input. **Recommendations** At the moment, there is no information about a newer version that contains a fix for this vulnerability.