🇰🇷 한글 설명
Kibana의 머신러닝 기능에서 저장된 객체를 삭제할 때, 학습된 모델에 대한 권한을 제대로 검증하지 못하는 취약점입니다. 이로 인해 학습된 모델에 대한 삭제 권한이 없는 사용자도 특정 권한을 악용하여 공간 내의 모델을 삭제할 수 있습니다. 다만 모델 자체가 완전히 삭제되는 것은 아니며 권한이 있는 사용자가 복구할 수 있습니다.
💡 쉬운 설명
권한이 부족한 사용자가 실수나 의도로 인해 중요한 머신러닝 모델을 작업 공간에서 보이지 않게 지울 수 있는 문제입니다. 모델 데이터 자체가 사라지는 것은 아니지만, 작업 환경의 설정이 변경될 수 있습니다.
🇺🇸 원문 (English)
A Kibana Machine Learning capability that removes a saved object from the current space accepts machine learning trained models as a target, but it verifies only the privileges that apply to anomaly detection jobs and data frame analytics jobs. A user whose role grants create anomaly detection jobs and data frame analytics jobs without the trained model privilege can therefore remove a trained model from a space. The model itself is not deleted and remains available in its other spaces, and the change can be reversed by a suitably privileged user.
📍 영향받는 시스템
Kibana Machine Learning 기능이 포함된 버전
⚔️ 공격 벡터
Anomaly Detection 또는 Data Frame Analytics 생성 권한을 가진 사용자가 모델 삭제 요청을 전송
🛡️ 대응 방법
Kibana를 최신 보안 패치가 적용된 버전으로 업데이트하고, 사용자 역할(Role)에 모델 관리 권한을 엄격히 제한
🔧 검증 코드
명령어 실행 결과로 모델 객체가 조회되는지 확인하고, 권한이 없는 계정으로 삭제 시도가 차단되는지 테스트
curl -s -u username:password -X GET "https://kibana-host:5601/api/console/proxy?path=.kibana/saved_objects/machine_learning/trained_model/*" | grep -E 'id'