CVE-2024-43707: Kibana Patches High Severity Vulnerability Exposing Sensitive Information
2025/01/23 SecurityOnline — データ視覚化／探索のための OSS ツール Kibana がリリースしたセキュリティ・アップデートは、２つの脆弱性 CVE-2024-43707／CVE-2024-43710 に対処するものだ。すべてのユーザーに推奨されるのは、これらの脆弱性が修正されたバージョン 8.15.0へと、直ちにアップグレードすることである。
- CVE-2024-43707 (CVSS：7.7) ：Kibana 8.0.0〜8.15.0 に影響を及ぼす、情報漏えいの脆弱性。この脆弱性の悪用に成功した攻撃者は、Elastic Agent ポリシー内に保存された、統合やコンフィグに関連するデータなどの機密情報に、アクセスする可能性を手にする。そのセキュリティ・アップデートには、「Kibana において、Fleet へのアクセス権を持たない攻撃者に対して、機密情報を含む Elastic Agent ポリシーの閲覧を許す可能性がある脆弱性が発見された。それらの機密情報は、Elastic Agent で有効化されている統合機能と、そのバージョンにより異なる」と記されているいる。
- CVE-2024-43710 (CVSS：4.3)：Kibana 8.7.0〜8.15.0 に影響を与える、SSRF (server-side request forgery) の脆弱性。セキュリティ・アップデートには、「Kibana において、SSRF の脆弱性が発見された。この脆弱性が悪用されると、/api/fleet/health_check API が、内部エンドポイントへのリクエスト送信に悪用される恐れがある」と説明されている。
すでに Kibana は、セキュリティ・パッチを適用したバージョン 8.15.0 をリリースし、これらの脆弱性に対処している。ユーザーに推奨されるのは、システムを確実に保護するために、このバージョンに速やかにアップグレードすることだ。
Kibana の脆弱性が FIX しました。さまざまなアプリケーションで利用されている Kibana であり、Kibana に依存しているアプリケーションもあるため、その影響の範囲が懸念されます。よろしければ、kibana で検索も、ご参照ください。
IoT OT Security News 
You must be logged in to post a comment.