BDU:2019-04796 (CVE-2019-7610) — уязвимость компонента xpack.security.audit.enabled сервиса визуализации данных Kibana
По данным БДУ ФСТЭК России, по состоянию на 22.12.2019.
Критический — 9.0/10 Устранена
Уязвимость компонента xpack.security.audit.enabled сервиса визуализации данных Kibana связана с недостаточной проверкой аргументов, передаваемых в команду. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды
Кого касается и что делать
- Уязвимое ПО: OpenShift Container Platform (Red Hat) — версии 3.11, 4.1.18; Kibana (Elastic NV) — версии до 5.6.15, от 6.0.0 до 6.6.1
- Что делать: уязвимость устранена производителем — применить исправления: access.redhat.com, access.redhat.com, discuss.elastic.co
Сведения об уязвимости
| Идентификаторы | BDU:2019-04796 · CVE-2019-7610 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.0; CVSS 2.0 — 7.6) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, высокая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость компонента xpack.security.audit.enabled сервиса визуализации данных Kibana, позволяющая нарушителю выполнить произвольные команды |
| Даты | Опубликована: 22.12.2019 · Обновлена ФСТЭК: 22.12.2019 · Выявлена: 19.02.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-77 — непринятие мер по чистке данных на управляющем уровне (Внедрение в команду); CWE-94 — неверное управление генерацией кода (Внедрение кода) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- OpenShift Container Platform (Red Hat) — версии 3.11, 4.1.18 · прикладное ПО информационных систем
- Kibana (Elastic NV) — версии до 5.6.15, от 6.0.0 до 6.6.1 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для программных продуктов Red Hat Inc.: access.redhat.com/errata/RHBA-2019:2824; access.redhat.com/errata/RHSA-2019:2860
- Для Kibana: discuss.elastic.co/t/elastic-stack-6-6-1-and-5-6-15-secur…
