CVE-2021-22142mediumCWE-1104

Kibana Reporting vulnerabilities

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.6epss 1.0%

probabilidad de explotación

1.0%top 40% de las CVE

explotación observada

noninguna fuente lo reporta

En resumen

La función de reportes de Kibana utiliza un navegador Chromium integrado para generar reportes descargables. Si un usuario con permiso para generar reportes logra que este navegador muestre HTML malicioso, podría explotar vulnerabilidades conocidas de Chromium para atacar el sistema.

Detalle técnico

La vulnerabilidad existe en la función de Reportes de Kibana, que integra Chromium para generación de PDF/imágenes. Un atacante autenticado con permisos de generación de reportes puede eludir las protecciones de renderización de HTML para inyectar contenido arbitrario, potencialmente desencadenando CVEs conocidas de Chromium para escalada de privilegios o ejecución de código en el servidor Kibana.

Resumen generado y traducido por IA a partir de la descripción oficial.

Kibana contains an embedded version of the Chromium browser that the Reporting feature uses to generate the downloadable reports. If a user with permissions to generate reports is able to render arbitrary HTML with this browser, they may be able to leverage known Chromium vulnerabilities to conduct further attacks. Kibana contains a number of protections to prevent this browser from rendering arbitrary content.

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:H

Productos afectados

Elastic · Kibana

Referencias

https://discuss.elastic.co/t/elastic-stack-7-13-0-and-6-8-16-security-update/273964/1 https://www.elastic.co/community/security