🇰🇷 한글 설명
Kibana 머신러닝 기능에서 불필요한 권한으로 실행되는 취약점(CWE-250)이 발견되었습니다. 머신러닝 기능에 읽기 권한만 가진 사용자가 요청을 보낼 때, 시스템이 사용자 본인의 권한이 아닌 내부 서비스 계정의 권한으로 작업을 수행하여 권한이 없는 Elasticsearch 인덱스의 데이터를 노출할 수 있습니다.
💡 쉬운 설명
머신러닝 기능을 사용하는 사용자가 자신의 권한보다 더 높은 시스템 관리자 권한을 빌려 쓰는 문제가 발생했습니다. 이로 인해 원래는 볼 수 없는 다른 사람의 데이터까지 몰래 훔쳐볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
Execution with Unnecessary Privileges (CWE-250) in the Kibana machine learning feature can lead to information disclosure via Privilege Abuse (CAPEC-122). An operation available to users holding only read access to the machine learning feature was performed with an internal service identity rather than the identity of the requesting user. Such a user could therefore receive data from Elasticsearch indices they are not authorized to read. No Elasticsearch cluster or index privileges are required.
📍 영향받는 시스템
Kibana 머신러닝 기능이 활성화된 버전 (정확한 버전 명시 필요)
⚔️ 공격 벡터
머신러닝 기능에 읽기 권한만 가진 사용자가 특정 작업을 요청하여 내부 서비스 계정의 권한을 악용
🛡️ 대응 방법
Kibana 및 Elasticsearch를 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 Kibana 버전을 확인하여 해당 취약점이 해결된 보안 패치 버전인지 제조사 공지사항과 대조
curl -s -X GET "localhost:5601/api/status" | grep -i 'version'