PT-2024-5372 · Elastic · Kibana

CVE-2024-37287 · Publicado 2024-08-06 · Atualizado 2024-09-10

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.1

Crítica

Vetor base

AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do Kibana anteriores à 8.14.2

Versões do Kibana anteriores à 7.17.23

Descrição

Foi descoberta uma falha no Kibana que permite a execução de código arbitrário. Um invasor com acesso aos recursos do conector de ML e Alertas, bem como acesso de gravação aos índices internos de ML, pode acionar uma vulnerabilidade de poluição de protótipos, levando, em última instância, à execução de código arbitrário. No momento da redação deste artigo, a Censys observa 5.183 dispositivos expostos online.

Recomendações

Para versões anteriores à 8.14.2, atualize para a versão 8.14.2.

Para versões anteriores à 7.17.23, atualize para a versão 7.17.23.

Exploit

Correção

DoS

Code Injection

Prototype Pollution

Enumeração de Fraquezas

CWE-94

CWE-1321

Identificadores relacionados

BDU:2024-06005

CVE-2024-37287

Produtos afetados

Kibana

Referências · 26

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2024/37xxx/CVE-2024-37287.json · Exploit
• https://github.com/elastic/kibana · Nota
• https://discuss.elastic.co/t/kibana-8-14-2-7-17-23-security-update-esa-2024-22/364424 · Nota
• https://osv.dev/vulnerability/CVE-2024-37287 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/1823326464881651775 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-37287 · Nota de Segurança
• https://t.me/securixy_kz/953 · Publicação no Telegram
• https://t.me/pentestingnews/50061 · Publicação no Telegram
• https://twitter.com/CriminalIP_US/status/1823570266083221522 · Publicação no Twitter
• https://twitter.com/CveFindCom/status/1823359755378704666 · Publicação no Twitter
• https://twitter.com/Brandefense/status/1822921030047830356 · Publicação no Twitter
• https://discuss.elastic.co/t/kibana-8-14-2-7-17-23-security-update-esa-2024-22 · Aviso do Fabricante
• https://twitter.com/PorsilapongoCl/status/1823327513935835642 · Publicação no Twitter
• https://twitter.com/CriminalIP_US/status/1823200302872588324 · Publicação no Twitter
• https://safe-surf.ru/specialists/bulletins-nkcki/710575 · Nota de Segurança