Elastic · Kibana
CVE-2019-7609
Kibana Arbitrary Code Execution
De quoi s'agit-il
Kibana versions before 5.6.15 and 6.6.1 contain an arbitrary code execution flaw in the Timelion visualizer. An attacker with access to the Timelion application could send a request that will attempt to execute javascript code. This could possibly lead to an attacker executing arbitrary commands with permissions of the Kibana process on the host system.
CISA: Kibana contain an arbitrary code execution flaw in the Timelion visualizer.
Que faire
Apply updates per vendor instructions.
Échéance pour les agences fédérales américaines : 10 juillet 2022
- Ajoutée à la liste de la CISA
- 10 janvier 2022
- Publiée
- 25 mars 2019
- Gravité
- Critique 9,8 CVSS 3.1
- Probabilité d'attaques dans les 30 prochains jours (EPSS)
- 95% dans les 0,1% les plus à risque de toutes les failles connues
- Faiblesse
- CWE-94
- Plus de détails
- NVD · CVE.org · CISA
Toutes les références (5)
- https://access.redhat.com/errata/RHSA-2019:2860
- https://access.redhat.com/errata/RHBA-2019:2824
- https://discuss.elastic.co/t/elastic-stack-6-6-1-and-5-6-15-security-update/169077
- https://www.elastic.co/community/security
- http://packetstormsecurity.com/files/174569/Kibana-Timelion-Prototype-Pollution-Remote-Code-Execution.html
Autres failles exploitées chez Elastic
| Ajouté | Faille | Produit | Gravité | Risque d'attaque |
|---|---|---|---|---|
| 25 mars 2022 | Remote Code Execution | Elasticsearch | Élevé 8,1 | 89% |
| 25 mars 2022 | Groovy Scripting Engine Remote Code Execution | Elasticsearch | Critique 9,8 | 99,9% |
Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.