PT-2021-14864 · Elastic · Kibana

Publicado 2021-05-13 · Atualizado 2021-05-21 · CVE-2021-22136

Positive Technologies (AI Summary) · Pt

CVSS v2.0

3.6

Baixa

Vetor base

AV:L/AC:L/Au:N/C:P/I:P/A:N

Nome do software vulnerável e versões afetadas

Versões do Kibana anteriores à 7.12.0

Versões do Kibana anteriores à 6.8.15

Descrição

Foi descoberta uma falha no tempo limite da sessão, na qual a configuração xpack.security.session.idleTimeout não está sendo respeitada. Isso foi causado por atividades de polling em segundo plano que prolongavam involuntariamente as sessões dos usuários autenticados, impedindo que a sessão do usuário expirasse.

Recomendações

Para versões anteriores à 7.12.0, atualize para a versão 7.12.0 ou posterior para resolver o problema.

Para versões anteriores à 6.8.15, atualize para a versão 6.8.15 ou posterior para resolver o problema.

Como solução alternativa temporária, considere restringir as atividades de polling em segundo plano para minimizar o risco de exploração.

Correção

Insufficient Session Expiration

Enumeração de Fraquezas

CWE-613

Identificadores relacionados

CVE-2021-22136

Produtos afetados

Kibana

Referências · 4

• https://discuss.elastic.co/t/elastic-stack-7-12-0-and-6-8-15-security-update/268125 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2021-22136 · Nota de Segurança
• https://t.me/cvenotify/14824 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2021-22136 · Aviso do Fabricante