Kritisk sårbarhed i dashboard-software til Elasticsearch

Der er observeret en kritisk sårbarhed i Kibanas dashboard-software til Elasticsearch, der potentielt kan udnyttes til at afvikle vilkårlig kode på enheden.

Det skriver The Hacker News og Security Affairs.

Sårbarheden har id’et CVE-2025-25012 og en CVSS-score på 9,9.

De berørte systemer er Kibana versioner >= 8.15.0 og < 8.17.3

Der er tale om en "Prototype pollution" i Kibana der kan udnyttes via et specielt sammensat filupload og specifikt udformede HTTP-anmodninger. Dette kan udnyttes af brugere med Viewer-rollen som indeholder alle følgende rettigheder: fleet-all, integrations-all, actions:execute-advanced-connectors.

Det anbefales at opdatere sårbare systemer, jvf. producentens anvisninger.