Kibana arbitrary code execution via prototype pollution
Sin señal de explotación. Ella tiene prueba de concepto pública.
Una falla en Kibana permite que atacantes manipulen cómo la aplicación crea objetos, provocando ejecución de código arbitrario. Esto ocurre a través de solicitudes especialmente construidas hacia funcionalidades de aprendizaje automático e informes, permitiendo que los invasores ejecuten cualquier código en el servidor.
La vulnerabilidad de contaminación de prototipos en Kibana permite que atacantes inyecten propiedades maliciosas en cadenas de prototipos mediante solicitudes HTTP manipuladas a endpoints de aprendizaje automático e informes, resultando en ejecución de código arbitrario con privilegios del servidor. El ataque requiere acceso a la red hacia los endpoints afectados; no se requiere autenticación si los endpoints están expuestos.