Elastic - CVE-2026-4498

Il s'agit d'une vulnérabilité dans les gestionnaires de routes de débogage du plugin Fleet de Kibana.

Kibana est l'interface de visualisation et d'administration de la suite Elastic Stack. Elle permet l'exploration de données, la création de tableaux de bord et la gestion des pipelines d'ingestion au travers de plugins comme Fleet, qui assure la supervision et la configuration des agents Elastic déployés dans l'infrastructure.

Ces routes internes - /internal/fleet/debug/index et /internal/fleet/debug/saved_objects - sont enregistrées automatiquement dès que Fleet est actif, ce qui est le cas par défaut. Elles s'exécutent avec des privilèges Elasticsearch supérieurs à ceux accordés à l'utilisateur appelant, sans vérifier les droits RBAC de ce dernier. Un utilisateur authentifié disposant de sous-privilèges Fleet (gestion des agents, des politiques d'agents ou des paramètres) peut ainsi interroger ces routes pour lire des index Elasticsearch hors de son périmètre RBAC direct.

Elle permet une atteinte à la confidentialité des données avec un impact élevé sur des ressources situées hors du scope de l'utilisateur.