kibanaの脆弱性(High: CVE-2024-12556, Moderate: CVE-2024-52974)

04/09/2025にkibanaの脆弱性(High: CVE-2024-12556, Moderate: CVE-2024-52974)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。

[過去関連リンク(最新5件)]

一次情報源

CVSS/プライオリティ

  • CVE-2024-12556
    • 影響するバージョン
      • 8.16.1 <= kibana < 8.17.1 
    • Priority
      • NVD: 8.7(HIGH)
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD: CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:N
      • Red Hat:
  • CVE-2024-52974
    • 影響するバージョン
      • 7.17.0 <= kibana < 7.17.22 
      • 8.0.0 <= kibana < 8.15.0 
    • Priority
      • NVD: 6.5(MEDIUM)
      • Red Hat:
    • CVSS Score / CVSS Vector
      • NVD: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
      • Red Hat:

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • https://www.cve.org/CVERecord?id=CVE-2024-12556
    • KibanaのPrototype汚染によるコードインジェクションの脆弱性
    • KibanaではPrototype汚染により、パストラバーサルと無制限のファイルアップロードを組み合わせることでコードインジェクションが発生する可能性があります。
  • https://www.cve.org/CVERecord?id=CVE-2024-52974
    • KibanaサーバクラッシュによるDoS
    • 特別に細工されたリクエストをObservability APIに送ることでkibanaサーバをクラッシュさせることができる可能性があります。これを成功させるには、悪意のあるユーザがObservabilityに対しread権限を持っている必要があります。

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。

[参考]

タイトルとURLをコピーしました