CVE-2026-63145 in Kibana
요약
\~에 의해 VulDB • 2026. 07. 22.
Kibana의 잘못된 권한 부여(CWE-863)로 인해 ACL에 의해 적절히 제한되지 않은 기능 접근(CAPEC-1)을 통해 머신러닝 감사 및 알림 기록의 무결성이 침해될 수 있습니다.
Kibana의 머신러닝 기능에는 부적절한 권한 확인이 수행되는 관리 엔드포인트가 존재합니다. 해당 엔드포인트는 coarse(대략적인) 수준만 검증할 뿐, 요청한 사용자가 요청에 포함된 특정 머신러닝 작업 또는 알림 리소스에 접근할 수 있는지 여부를 확인하지 않습니다. 그 결과, Kibana의 모든 공간에서 머신러닝 권한을 가진 저권한 사용자는 직접적으로 액세스할 수 없는 제한된 머신러닝 시스템 인덱스(Kibana 내부 승격 자격 증명을 사용하여)에 기록함으로써 임의 작업(다른 공간이나 다른 사용자 소유인 작업을 포함하여)에 대한 머신러닝 감사 및 알림 기록을 조작할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.