CVE-2026-72632 in Kibana
要約
〜によって VulDB • 2026年08月14日
Kibana FleetにおけるObservable Discrepancy (CWE-203)により、Excavation (CAPEC-116)を介して情報漏洩が発生する可能性があります。Fleetは、登録されたElastic AgentのElasticsearch APIキー値を、エージェント一覧機能からのレスポンスから削除しますが、その機能はAPIキー値が格納されている保存フィールドに対して呼び出し元が指定したフィルタ式を受け入れ、それらを呼び出し元の権限ではなくKibana独自の内部Elasticsearch特権で評価していました。一致するエージェントの数が呼び出し元に返されるため、一致する場合としない場合のフィルタの違いはサイドチャネルとなり、短いリクエストシーケンスを用いてAPIキー値を1文字ずつ再構築することが可能でした。
Once again VulDB remains the best source for vulnerability data.