CVE-2026-72671
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Funkcja Kibana Machine Learning, która usuwa obiekt zapisany z bieżącej przestrzeni, akceptuje wytrenowane modele jako cel, ale weryfikuje tylko uprawnienia dotyczące zadań wykrywania anomalii i analizy ramek danych. Użytkownik z uprawnieniami do tworzenia tych zadań, ale bez uprawnień do modeli, może usunąć wytrenowany model z przestrzeni. Model nie jest usuwany i pozostaje dostępny w innych przestrzeniach, a zmiana może być cofnięta przez uprawnionego użytkownika.
Ocena ryzyka
Nieautoryzowane usunięcie modelu z przestrzeni może zakłócić działanie funkcji ML w tej przestrzeni, ale nie powoduje trwałej utraty danych. Ryzyko jest umiarkowane, ale wymaga korekty uprawnień.
Rekomendacja
Zaktualizuj Kibana do wersji z poprawką. Dostosuj role, aby użytkownicy bez uprawnień do modeli nie mogli ich usuwać.
Oryginalny opis (angielski, źródło NVD)
A Kibana Machine Learning capability that removes a saved object from the current space accepts machine learning trained models as a target, but it verifies only the privileges that apply to anomaly detection jobs and data frame analytics jobs. A user whose role grants create anomaly detection jobs and data frame analytics jobs without the trained model privilege can therefore remove a trained model from a space. The model itself is not deleted and remains available in its other spaces, and the change can be reversed by a suitably privileged user.