Mise à jour critique de sécurité pour Kibana : Elastic corrige une faille majeure
Une mise à jour de sécurité critique pour Kibana, l’outil de visualisation de données d’Elasticsearch, a été récemment publiée par Elastic. Cette mise à jour vise à corriger une faille de sécurité majeure liée à la technique de “prototype pollution”. Voyons en détail les informations importantes à retenir.
Une vulnérabilité critique liée à la “prototype pollution”
D’après le bulletin de sécurité émis par Elastic, la faille de sécurité identifiée repose sur la technique de “prototype pollution”. Cette vulnérabilité, référencée sous le numéro CVE-2025-25015 et avec un score CVSS de 9.9 sur 10, est considérée comme critique.
En exploitant cette faille, un attaquant pourrait manipuler les objets et propriétés JavaScript de l’application, ce qui pourrait potentiellement conduire à un accès non autorisé aux données, à une élévation de privilèges, à un déni de service ou encore à l’exécution de code à distance.
Les versions de Kibana impactées par cette faille vont de la version 8.15.0 à toutes les versions antérieures à la version 8.17.3. La mise à jour 8.17.3 a été déployée spécifiquement pour corriger cette vulnérabilité. Il est important de noter que l’exploitation de cette faille varie en fonction des versions, comme mentionné dans le bulletin de sécurité d’Elastic.
Des privilèges spécifiques nécessaires pour exploiter la faille
Pour les versions de Kibana allant de 8.15.0 à 8.17.1, seuls les utilisateurs disposant du rôle “Viewer” sont affectés par cette vulnérabilité. Quant aux versions 8.17.1 et 8.17.2, l’exploitation de la faille requiert des privilèges spécifiques tels que :
- fleet-all
- integrations-all
- actions:execute-advanced-connectors
Une menace circonscrite aux instances sur Elastic Cloud
Il est crucial de noter qu’only les instances de Kibana hébergées sur Elastic Cloud sont concernées par cette vulnérabilité, selon les informations fournies par Elastic dans son bulletin de sécurité. Les instances Kibana auto-gérées sur les licences Basic ou Platinum ne sont pas impactées par ce problème.
Malgré cela, Elastic assure que l’exécution du code reste confinée au conteneur Docker de Kibana, grâce à l’utilisation de seccomp-bpf et des profils AppArmor, ce qui empêche une évasion d’attaques au niveau des conteneurs.
Il est fortement recommandé aux utilisateurs d’appliquer rapidement le correctif pour se prémunir contre d’éventuelles attaques. En attendant de déployer le correctif, Elastic suggère de désactiver l’option “Integration Assistant” en modifiant la configuration de Kibana (“kibana.yml”) comme suit :
xpack.integration_assistant.enabled: false
Cette vulnérabilité met en évidence la nécessité de rester vigilants quant à la sécurité des applications telles que Kibana. En effet, en septembre 2024, Elastic a déjà corrigé deux failles de sécurité importantes dans cette solution : CVE-2024-37288 et CVE-2024-37285.
Source : www.it-connect.fr
