CVE-2026-49089
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Alokacja zasobów bez limitów lub ograniczania w Kibana może prowadzić do odmowy usługi poprzez nadmierną alokację. Wyrażenie zapytania akceptowane przez operację raportowania łącznika było przetwarzane bez żadnego limitu rozmiaru, a zbyt duże wyrażenie powodowało, że proces Kibana spędzał nieograniczoną ilość czasu na jego ocenie. Uwierzytelniony użytkownik z uprawnieniami tylko do odczytu mógł wysłać pojedyncze żądanie, które pozostawiało Kibana niezdolnym do obsługi jakiegokolwiek użytkownika aż do ponownego uruchomienia procesu.
Ocena ryzyka
Pojedyncze żądanie od użytkownika z uprawnieniami tylko do odczytu może całkowicie unieruchomić Kibana, powodując długotrwałą odmowę usługi dla wszystkich użytkowników. To może prowadzić do znacznych przestojów i braku dostępności narzędzi analitycznych.
Rekomendacja
Zainstaluj poprawkę Kibana, która wprowadza limity rozmiaru wyrażeń zapytań. Ogranicz dostęp do operacji raportowania łączników tylko do zaufanych użytkowników i rozważ monitorowanie pod kątem nietypowych żądań.
Oryginalny opis (angielski, źródło NVD)
Allocation of Resources Without Limits or Throttling (CWE-770) in Kibana can lead to denial of service via Excessive Allocation (CAPEC-130). A query expression accepted by a connector reporting operation was processed without any limit on its size, and an oversized expression caused the Kibana process to spend an unbounded amount of time evaluating it. An authenticated user with read-only privileges was able to send a single request that left Kibana unable to serve any user until the process was restarted.