Elastic - CVE-2026-42398
Date de publication :
Il s'agit d'une vulnérabilité de type Server-Side Request Forgery (SSRF) dans le composant de gestion des connecteurs Webhook de Kibana.
Kibana est un outil de visualisation et d'exploration de données qui constitue l'interface graphique de l'Elastic Stack (Elasticsearch, Logstash, Kibana). Il permet l'interrogation, la création de tableaux de bord et la gestion des connecteurs d'actions vers des services externes.
Lorsque l'opérateur a configuré le paramètre xpack.actions.allowedHosts pour restreindre les connexions sortantes des connecteurs, un utilisateur authentifié disposant des privilèges de gestion des connecteurs peut créer un connecteur Webhook avec une URL de destination forgée. La validation de la liste d'autorisation des hôtes est contournée, ce qui conduit Kibana à émettre des requêtes HTTP sortantes vers des ressources réseau internes normalement inaccessibles depuis l'extérieur.
Elle permet d'atteindre des services internes protégés par les contrôles d'egress, conduisant à une atteinte à la confidentialité des données accessibles depuis le réseau interne du serveur hébergeant Kibana.
Informations
La faille est activement exploitée : Non
Un correctif existe : Oui
Une mesure de contournement existe : Non
Atteinte à la confidentialité des données
Exploitation
CWE-918 : Server-Side Request Forgery (SSRF)
Détails sur l'exploitation
• Vecteur d'attaque : Réseau
• Complexité de l'attaque : Faible
• Privilèges nécessaires pour réaliser l'attaque : Authentification utilisateur simple
• Interaction d'un utilisateur ayant accès au produit est-elle nécessaire : Non
• L'exploitation de la faille permet d'obtenir des droits privilégiés : Non
Preuve de concept
Actuellement, aucune preuve de concept n'est disponible en sources ouvertes.
Systèmes ou composants affectés
• Kibana versions 9.0.0 jusqu'à 9.2.7 incluse
• Kibana versions 9.3.0 jusqu'à 9.3.1 incluse
Solutions ou recommandations
• Kibana versions 9.3.2 et supérieures (branche 9.3.x)