CVE-2026-33460
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Podatność nieprawidłowej autoryzacji w Kibanie umożliwia użytkownikowi z uprawnieniami zarządzania Fleet w jednej przestrzeni (space) dostęp do szczegółów polityki serwera Fleet z innych przestrzeni. Wykorzystuje to wewnętrzny endpoint rejestracji, który omija kontrolę dostępu opartą na przestrzeniach.
Ocena ryzyka
Organizacja narażona jest na wyciek informacji między przestrzeniami Kibany, takich jak nazwy polityk, stan zarządzania i szczegóły infrastruktury, do których użytkownik nie powinien mieć dostępu.
Rekomendacja
Zaktualizuj Kibanę do wersji, w której poprawiono kontrolę dostępu w endpointach wewnętrznych. Ogranicz uprawnienia zarządzania Fleet tylko do zaufanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
Incorrect Authorization (CWE-863) in Kibana can lead to cross-space information disclosure via Privilege Abuse (CAPEC-122). A user with Fleet agent management privileges in one Kibana space can retrieve Fleet Server policy details from other spaces through an internal enrollment endpoint. The endpoint bypasses space-scoped access controls by using an unscoped internal client, returning operational identifiers, policy names, management state, and infrastructure linkage details from spaces the user is not authorized to access.