Skip to content
OpenAdvisories
Medium WID-SEC-2024-3184 3 CVEs

Elasticsearch/Kibana: Mehrere Schwachstellen

Published Jul 30, 2019 · Updated Oct 15, 2024 · Revision 6 · de-DE

Vendor: Red Hat Vendor: SolarWinds Product: Enterprise Linux Product: Platform Platform: Linux Platform: Windows

Summary

Ein entfernter, authentisierter Angreifer kann mehrere Schwachstellen in Elasticsearch und Kibana ausnutzen, um beliebigen Programmcode mit den Rechten des Dienstes auszuführen, Sicherheitsmechanismen zu umgehen und Informationen offenzulegen.

Product

Elasticsearch ist eine Open Source, verteilte Echtzeit-Suche und Analyse-Engine.
Kibana ist ein Open Source Datenvisualisierungs-Plugin für Elasticsearch.

Vulnerabilities 3

  • Critical 9.1
    CVE-2019-10744 Public exploit

    Prototype Pollution in lodash

    Versions of lodash lower than 4.17.12 are vulnerable to Prototype Pollution. The function defaultsDeep could be tricked into adding or modifying properties of Object.prototype using a constructor payload.

    snyk lodash js-jquery lodash Debian Azure Linux npm RubyGems
  • Medium 5.9
    CVE-2019-7614

    Concurrent Execution using Shared Resource with Improper Synchronization in Elasticsearch

    A race condition flaw was found in the response headers Elasticsearch versions before 7.2.1 and 6.8.2 returns to a request. On a system with multiple users submitting requests, it could be possible for an attacker to gain access to response header containing …

    Elastic Elasticsearch org.elasticsearch:elasticsearch Maven
  • Unscored —
    CVE-2019-7616 Public exploit

    Kibana versions before 6.8.2 and 7.2.1 contain a server side request forgery (SSRF) flaw in the graphite integration fo…

    Elastic Kibana

Revision history

  1. #6

    Neue Updates aufgenommen

  2. #5

    Neue Updates von Red Hat aufgenommen

  3. #4

    Neue Updates von Red Hat aufgenommen

  4. #3

    Neue Updates von F5 aufgenommen

  5. #2

    Neue Updates von Red Hat aufgenommen

  6. #1

    Initiale Fassung

References