PT-2025-2667 · Elastic · Kibana
Publicado
2025-01-23
·
Atualizado
2025-01-28
·
CVE-2024-43710
CVSS v3.1
4.3
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Kibana (versões afetadas não especificadas)
Descrição
Uma vulnerabilidade de Server-Side Request Forgery (SSRF) foi identificada no Kibana, na qual a API "/api/fleet/health check" poderia ser utilizada para enviar solicitações a endpoints internos. Devido à natureza da solicitação subjacente, apenas endpoints disponíveis via HTTPS que retornam JSON poderiam ser acessados. Isso pode ser realizado por usuários com acesso de leitura ao Fleet.
Recomendações
Como solução temporária, considere restringir o acesso ao endpoint da API "/api/fleet/health check" até que um patch esteja disponível.
Restrinja o acesso a endpoints internos disponíveis via HTTPS que retornam JSON para minimizar o risco de exploração.
Evite utilizar o endpoint da API "/api/fleet/health check" com usuários que possuem acesso de leitura ao Fleet até que o problema seja resolvido.
No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.
SSRF
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Kibana