Kibana Fleet – Unnötige Berechtigungen ermöglichen Zugriff auf Elasticsearch-Indexdaten

Beschreibung

In den Debug-Route-Handlern des Fleet-Plugins von Kibana führt die Ausführung mit unnötigen Berechtigungen (CWE-250) dazu, dass Indexdaten ausserhalb des direkten Elasticsearch-RBAC-Geltungsbereichs ausgelesen werden können (Privilege Abuse, CAPEC-122). CVSS-Basiswert: 7.7 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Elastic (Elasticsearch/Kibana)

• Elasticsearch: Remote Code Execution KEV CVE-2014-3120
• Elasticsearch Groovy Scripting Engine – Remote Code Execution KEV CVE-2015-1427
• Kibana – Arbitrary Code Execution KEV CVE-2019-7609
• Dell ECS / ObjectScale – Hartcodierte Anmeldedaten CVE-2026-40636
• Kibana Workflows – Template-Injection ermöglicht Lesen beliebiger Dateien CVE-2026-26938
• Logstash – Path Traversal ermöglicht beliebiges Schreiben von Dateien und Remote Code Execution CVE-2026-33466