🇰🇷 한글 설명
Kibana의 Observability 온보딩 흐름 상태가 생성한 사용자와 결합되지 않아 소유권 검증이 이루어지지 않는 취약점입니다. 인증된 사용자가 권한이 없는 다른 사용자의 온보딩 흐름을 조회하거나 임의의 데이터를 작성할 수 있으며, 이로 인해 온보딩 화면에서 서버 오류가 발생할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 다른 사용자가 진행 중인 설정 과정을 몰래 훔쳐보거나 내용을 마음대로 바꿀 수 있는 보안 결함입니다. 이로 인해 다른 사용자의 설정 화면이 제대로 작동하지 않을 수도 있습니다.
🇺🇸 원문 (English)
The state that Kibana stores for an Observability Onboarding flow is not bound to the user who created the flow, and the routes that read and update that state do not verify ownership. An authenticated user who holds only generic read access to the space can therefore discover the onboarding flows of other users, read their onboarding state, and write arbitrary progress data into them. A tampered flow can also cause the owner's onboarding view to fail with a server error.
📍 영향받는 시스템
Kibana (Observability Onboarding flow 관련 기능 포함 버전)
⚔️ 공격 벡터
인증된 사용자가 소유권 검증이 없는 API 경로를 통해 타인의 온보딩 상태를 읽거나 수정
🛡️ 대응 방법
Kibana를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자별 데이터 접근 권한(RBAC)을 재검토하십시오.
🔧 검증 코드
명령어 실행 시 타인의 온보딩 상태 데이터가 노출되거나, 권한 없는 접근 시 403/401 에러가 발생하지 않으면 취약한 상태입니다.
curl -s -u [USER:PASS] http://[KIBANA_HOST]/api/observability/onboarding/state | grep -E 'error|unauthorized'