CVE

Vulnerabilidad en Elastic (CVE-2023-46671)

Severidad:

MEDIA

Type:

CWE-532 Exposición de información a través de archivos de log

Fecha de publicación:

13/12/2023

Última modificación:

18/12/2023

Descripción

Elastic descubrió un problema por el cual se puede registrar información confidencial en los registros de Kibana en caso de un error. Elastic lanzó Kibana 8.11.1 que resuelve este problema. El mensaje de error registrado en el registro puede contener credenciales de cuenta para el usuario de kibana_system, claves API y credenciales de los usuarios finales de Kibana. El problema ocurre con poca frecuencia, solo si se devuelve un error desde un clúster de Elasticsearch, en los casos en que hay interacción del usuario y un clúster en mal estado (por ejemplo, cuando se devuelve un disyuntor o no hay excepciones de fragmentos).

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 6.50 MEDIA
Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Bajo
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno