CVE-2021-22142mediumCWE-1104

Kibana Reporting vulnerabilities

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 6.6epss 1.0%

probabilidade de exploração

1.0%top 40% das CVEs

exploração observada

nãonenhuma fonte reporta

Em resumo

O recurso de relatórios do Kibana usa um navegador Chromium incorporado para gerar relatórios para download. Se um usuário com permissão para gerar relatórios conseguir fazer esse navegador exibir HTML malicioso, ele pode explorar vulnerabilidades conhecidas do Chromium para atacar o sistema.

Detalhe técnico

A vulnerabilidade está no recurso de Relatórios do Kibana, que incorpora o Chromium para geração de PDF/imagens. Um atacante autenticado com permissões de geração de relatórios pode contornar proteções de renderização de HTML para injetar conteúdo arbitrário, potencialmente desencadeando CVEs conhecidas do Chromium para elevação de privilégio ou execução de código no servidor Kibana.

Resumo gerado e traduzido por IA a partir da descrição oficial.

Kibana contains an embedded version of the Chromium browser that the Reporting feature uses to generate the downloadable reports. If a user with permissions to generate reports is able to render arbitrary HTML with this browser, they may be able to leverage known Chromium vulnerabilities to conduct further attacks. Kibana contains a number of protections to prevent this browser from rendering arbitrary content.

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Produtos afetados

Elastic · Kibana

Referências

https://discuss.elastic.co/t/elastic-stack-7-13-0-and-6-8-16-security-update/273964/1 https://www.elastic.co/community/security