Уязвимость BDU:2025-14394
Идентификатор: BDU:2025-14394.
Наименование уязвимости: Уязвимость библиотеки Vega сервиса визуализации данных Kibana, позволяющая нарушителю проводить межсайтовые сценарные атаки.
Описание уязвимости: Уязвимость библиотеки Vega сервиса визуализации данных Kibana связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить межсайтовые сценарные атаки
Уязвимое ПО: Прикладное ПО информационных систем Elastic NV Kibana до 8.19.7 | Прикладное ПО информационных систем Elastic NV Kibana до 9.1.7 | Прикладное ПО информационных систем Elastic NV Kibana до 9.2.1 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 12.11.2025.
CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:C/A:N
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,2)
Возможные меры по устранению:
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— ограничение возможности использования библиотеки путем установления значения «false» для параметра vis_type_vega.enabled;
— использование антивирусного программного обеспечения для проверки посещаемых страниц;
— использование средств межсетевого экранирования для ограничения удаленного доступа к уязвимому сервису;
— ограничение доступа к уязвимому сервису, используя схему доступа по «белым спискам»;
— использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимости.
Использование рекомендаций производителя:
https://discuss.elastic.co/t/kibana-8-19-7-9-1-7-9-2-1-security-update-esa-2025-25/383379.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-59840. ESA-2025-25.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://discuss.elastic.co/t/kibana-8-19-7-9-1-7-9-2-1-security-update-esa-2025-25/383379
