Kibana < / <9.4.5多個漏洞 （ESA-2026-87 / ESA-2026-88） 9.x8.19.208.x
high Nessus Plugin ID 338741
語言:
概要
遠端主機受多個弱點影響。說明
遠端主機上安裝的 Kibana 版本早8.x8.19.20於 或9.x早於 9.4.5。因此，它會受到 ESA-2026-87 和 ESA-2026-88 公告中所提及的多個弱點影響。- 僅擁有讀取代理程式原則權限的較低權限使用者可以讀取已設定叢集 Proxy 的整個組態。這通常需要叢集權限才能讀取設定。Proxy 組態可能包含 Proxy 驗證認證和私密金鑰資料，不應授權他們檢視這些資料。（CVE-2026-72670）
- 從現行空間移除已儲存物件的 Kibana 機器學習功能會接受機器學習訓練的模型作為目標，但只會驗證套用至異常偵測工作及資料框架分析工作的權限。因此，其角色授權建立異常偵測工作和資料框架分析工作，而沒有訓練模型權限的使用者可以從空間中移除訓練模型。模型本身不會被刪除，而是在其其他空間中仍然可用，並且具有適當權限的使用者可以撤銷變更。（CVE-2026-72671）
請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
更新至 Kibana 版本 8.19.20或 9.4.5 更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 338741
檔案名稱: kibana_esa_2026_87.nasl
版本: 1.1
類型: Remote
系列: CGI abuses
已發布: 2026/8/21
已更新: 2026/8/21
支援的感應器: Nessus
風險資訊
VPR
風險因素: Low
分數: 3.3
百分位數: 50.97
CVSS v2
風險因素: Medium
基本分數: 6.8
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:N/A:N
CVSS 評分資料來源: CVE-2026-72670
CVSS v3
風險因素: High
基本分數: 7.7
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
弱點資訊
CPE: cpe:/a:elasticsearch:kibana
必要的 KB 項目: installed_sw/Kibana
修補程式發佈日期: 2026/8/13
弱點發布日期: 2026/8/13
參考資訊
CVE: CVE-2026-72670, CVE-2026-72671