Basque Cyber Security Centre - Zibersegurtasun Euskal Zentroa

Argitalpen data: 2018/12/21

Garrantzia: Kritikoa

Kaltetutako baliabideak:

• Kibana, 6.4.3 eta 5.6.13 baino lehenagoko bertsioak

Azalpena:

Kibanak LFI (Local File Inclusion) prozesuan duen ahultasun baten berri argitaratu da. Ahultasun horrek fitxategiak txertatzea ahalbidetu lezake http eskaeren bidez.

Konponbidea:

• 6.5 bertsiora eguneratzea.

Xehetasuna:

• Kibanaren kontsolaren APIaren bitartez, Kibanak baimenak dituen zerbitzariaren edozein direktoriotan gordeta dauden Java Script fitxategiak exekutatzea ahalbidetuko liokeen http eskaera bat bidal lezake erasotzaile batek. Horrela informazioa eskura lezake eta makinaren kontrola lortzeko fitxategiak txertatzen utziko lioketen komandoak exekuta litzake. Ahultasun horretarako CVE-2018-17246 identifikatzailea erabili da.

Etiketak: Eguneraketa, Ahultasuna