Kibana 8.7.0 < 8.19.18 / 9.0.x < 9.3.7 / 9.4.x < 9.4.3 授權繞過 （ESA-2026-59）
high Nessus Plugin ID 330370
語言:
概要
遠端主機受到繞過授權弱點的影響。說明
遠端主機上安裝的 Kibana 版本在 之前，8.7.08.19.18或9.3.x9.3.7之前，9.4.x9.4.3或之前。因此，它會受到 ESA-2026-59 公告中提及的一個弱點影響。- 透過 Kibana 中的使用者控制金鑰 （CWE-639） 授權繞過可能會透過特權濫用 （CAPEC-122） 導致未經授權的資訊洩露和案例附件完整性受損。Kibana 檔案存取授權邏輯中的不一致允許低權限的驗證使用者擷取、修改和刪除屬於其無權存取的功能區域的案例附件。由於存取控制檢查和資源擷取使用不同的解析機制，因此具有有限檔案管理權限的已驗證攻擊者可以取得、修改或刪除受保護案例附件的內容，例如與安全性解決方案案例相關聯的附件，而無需擁有存取這些功能所需的權限。（CVE-2026-56147）
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級至 Kibana 8.19.18、9.3.7、9.4.3 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 330370
檔案名稱: kibana_esa_2026_59.nasl
版本: 1.2
類型: Remote
系列: CGI abuses
已發布: 2026/7/28
已更新: 2026/7/29
支援的感應器: Nessus
風險資訊
VPR
風險因素: Low
分數: 3.5
百分位數: 51.9
CVSS v2
風險因素: High
基本分數: 7.5
時間性分數: 5.5
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:P/A:N
CVSS 評分資料來源: CVE-2026-56147
CVSS v3
風險因素: High
基本分數: 7.1
時間性分數: 6.2
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:N
時間媒介: CVSS:3.0/E:U/RL:O/RC:C
弱點資訊
CPE: cpe:/a:elasticsearch:kibana
必要的 KB 項目: installed_sw/Kibana
可輕鬆利用: No known exploits are available
修補程式發佈日期: 2026/7/21
弱點發布日期: 2026/7/21
參考資訊
CVE: CVE-2026-56147
IAVB: 2026-B-0199