Nivel de peligrosidad: ALTO
Elastic ha hecho públicos dos avisos de seguridad con el fin de corregir vulnerabilidades de criticidad alta en su producto Kibana, panel de visualización de datos de código abierto para el servidor de búsqueda Elasticsearch:
CVE-2020-7012: Vulnerabilidad en Kibana que permite la modificación de objetos JavaScript (prototype pollution) en el asistente de actualización de la herramienta. Un atacante autenticado con privilegios para escribir en el index de Kibana podría insertar datos que podrían conducir a una ejecución de código con los mismos permisos del proceso Kibana en el sistema host.
CVE-2020-7013: Al igual que la anterior, se trata de una vulnerabilidad en Kibana del tipo prototype pollution (modificación de objetos JavaScript). Un atacante autenticado con privilegios para crear visualizaciones TSVB, es decir, datos de series temporales, podría insertar información que podría conducir a una ejecución de código con los mismos permisos del proceso Kibana en el sistema host.
La base de datos del NIST ha otorgado a ambos CVEs una criticidad de 8.8 según la escala CVSSv3.1. Esto es debido a que un posible ataque puede realizarse de forma remota, con una complejidad y privilegios bajos, sin interacción por parte de ningún usuario y produciría un impacto alto en todo el sistema. Hasta la fecha, no se conocen reportes de actividad dañina en la red que aproveche estas vulnerabilidades ni la disponibilidad de exploits para las mismas.
Recursos afectados:
- CVE-2020-7012: Versiones de Kibana desde la 6.7.0 hasta la 6.8.8 y desde la 7.0.0 hasta la 7.6.2 (todas incluidas).
- CVE-2020-7013: Versiones de Kibana hasta la 6.8.9 (sin incluir) y desde la 7.0.0 (incluida) hasta la 7.7.0 (sin incluir).
Solución a las vulnerabilidades:
- CVE-2020-7012: Actualizar a las versiones de Kibana 7.7.0 o 6.8.9. En caso de no ser posible aplicar la actualización es posible deshabilitar el Asistente de actualización siguiendo las instrucciones a continuación:
- En Kibana 6.7.0 y 6.7.1 establecer "upgrade_assistant.enabled: false" en el archivo kibana.yml.
- En las versiones de Kibana que comienzan con 6.7.2 establecer "xpack.upgrade_assistant.enabled: false" en el archivo kibana.yml.
- CVE-2020-7013: Actualizar a las versiones de Kibana 7.7.0 o 6.8.9. En caso de no ser posible aplicar la actualización es posible deshabilitar TSVB configurando "metrics.enabled: false" en el archivo kibana.yml.
Recomendaciones:
El CERT de Entelgy Innotec Security, recomienda encarecidamente a los usuarios y administradores de sistemas que apliquen los parches de seguridad o actualizaciones en cuanto se encuentren disponibles, con el fin de evitar la exposición a ataques externos y la toma de control de los sistemas informáticos.
