Vulnerabilidad en Kibana (CVE-2023-31422)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-532 Exposición de información a través de archivos de log

Fecha de publicación:

26/10/2023

Última modificación:

03/11/2023

Descripción

Elastic descubrió un problema por el cual se registra información confidencial en los registros de Kibana en caso de error. El problema afecta solo a la versión 8.10.0 de Kibana cuando se inicia sesión en el diseño JSON o cuando el diseño del patrón está configurado para registrar el patrón %meta. Elastic lanzó Kibana 8.10.1 que resuelve este problema. El objeto de error registrado en el log contiene información de solicitud, que puede incluir datos confidenciales, como credenciales de autenticación, cookies, encabezados de autorización, parámetros de consulta, rutas de solicitud y otros metadatos. Algunos ejemplos de datos confidenciales que se pueden incluir en los registros son las credenciales de cuenta para los usuarios finales de kibana_system, kibana-metricbeat o Kibana.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 7.50 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno