A Elastic disponibilizou atualizações de segurança para corrigir uma falha crítica que afeta o software de dashboard de visualização de dados Kibana para Elasticsearch, que poderia resultar na execução arbitrária de código.
A vulnerabilidade, identificada como CVE-2025-25012, recebeu uma pontuação CVSS de 9.9, em um máximo de 10.0.
Foi descrita como um caso de poluição de protótipo.
"A poluição de protótipo no Kibana leva à execução arbitrária de código através do upload de um arquivo manipulado e requisições HTTP especificamente criadas para tal," disse a empresa em um comunicado divulgado na quarta-feira(05).
Vulnerabilidade de poluição de protótipo é uma falha de segurança que permite aos atacantes manipular os objetos e propriedades JavaScript de uma aplicação, podendo levar a um acesso não autorizado a dados, escalonamento de privilégios, negação de serviço, ou execução remota de código.
A vulnerabilidade afeta todas as versões do Kibana entre 8.15.0 e 8.17.3.
Ela foi corrigida na versão 8.17.3.
Com isso dito, nas versões do Kibana de 8.15.0 até antes da 8.17.1, a vulnerabilidade pode ser explorada apenas por usuários com o papel de Viewer.
Nas versões do Kibana 8.17.1 e 8.17.2, ela pode ser explorada apenas por usuários que possuem todos os privilégios mencionados abaixo:
- fleet-all
- integrations-all
- actions:execute-advanced-connectors
Recomenda-se que os usuários tomem medidas para aplicar as últimas correções a fim de se proteger contra possíveis ameaças.
Caso a aplicação imediata de patches não seja uma opção, recomenda-se aos usuários definir a flag de funcionalidade Assistant Integration como falsa ("xpack.integration_assistant.enabled: false") na configuração do Kibana ("kibana.yml").
Em agosto de 2024, a Elastic corrigiu outra falha crítica de poluição de protótipo no Kibana (
CVE-2024-37287
, pontuação CVSS: 9.9) que poderia levar à execução de código.
Um mês depois, resolveu dois bugs graves de deserialização (
CVE-2024-37288
, pontuação CVSS: 9.9 e
CVE-2024-37285
, pontuação CVSS: 9.1) que também poderiam permitir a execução arbitrária de código.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...