CVSS: 4.9EPSS: 0%CPEs: 2EXPL: 0CVE-2024-23443
https://notcve.org/view.php?id=CVE-2024-23443
A high-privileged user, allowed to create custom osquery packs 17 could affect the availability of Kibana by uploading a maliciously crafted osquery pack. Un usuario con altos privilegios, al que se le permite crear paquetes de osquery personalizados 17, podría afectar la disponibilidad de Kibana al cargar un paquete de osquery creado con fines malintencionados. • https://discuss.elastic.co/t/kibana-8-14-0-7-17-22-security-update-esa-2024-11/361460 • CWE-400: Uncontrolled Resource Consumption •
CVSS: 6.1EPSS: 0%CPEs: 2EXPL: 0CVE-2024-23442 – Kibana open redirect issue
https://notcve.org/view.php?id=CVE-2024-23442
An open redirect issue was discovered in Kibana that could lead to a user being redirected to an arbitrary website if they use a maliciously crafted Kibana URL. Se descubrió un problema de redireccionamiento abierto en Kibana que podría llevar a que un usuario sea redirigido a un sitio web arbitrario si utiliza una URL de Kibana manipulada con fines malintencionados. • https://discuss.elastic.co/t/kibana-8-14-0-7-17-22-security-update/361502 • CWE-601: URL Redirection to Untrusted Site ('Open Redirect') •
CVSS: 4.3EPSS: 0%CPEs: 1EXPL: 0CVE-2024-37279 – Kibana Broken Access Control issue
https://notcve.org/view.php?id=CVE-2024-37279
A flaw was discovered in Kibana, allowing view-only users of alerting to use the run_soon API making the alerting rule run continuously, potentially affecting the system availability if the alerting rule is running complex queries. Se descubrió una falla en Kibana, que permite a los usuarios de alertas de solo visualización usar la API run_soon, lo que hace que la regla de alerta se ejecute continuamente, lo que podría afectar la disponibilidad del sistema si la regla de alerta ejecuta consultas complejas. • https://discuss.elastic.co/t/kibana-8-14-0-security-update-esa-2024-15/360887 •
CVSS: 4.9EPSS: 0%CPEs: 1EXPL: 0CVE-2024-37280 – Elasticsearch StackOverflow vulnerability
https://notcve.org/view.php?id=CVE-2024-37280
A flaw was discovered in Elasticsearch, affecting document ingestion when an index template contains a dynamic field mapping of “passthrough” type. Under certain circumstances, ingesting documents in this index would cause a StackOverflow exception to be thrown and ultimately lead to a Denial of Service. Note that passthrough fields is an experimental feature. Se descubrió una falla en Elasticsearch que afecta la ingesta de documentos cuando una plantilla de índice contiene un mapeo de campo dinámico de tipo "paso a través". En determinadas circunstancias, la ingesta de documentos en este índice provocaría que se lanzara una excepción de StackOverflow y, en última instancia, provocaría una denegación de servicio. • https://discuss.elastic.co/t/elasticsearch-8-14-0-security-update-esa-2024-14/361007 • CWE-122: Heap-based Buffer Overflow •
CVSS: 6.5EPSS: 0%CPEs: 1EXPL: 0CVE-2024-23445 – Elasticsearch Remote Cluster Search Cross Cluster API Key insufficient restrictions
https://notcve.org/view.php?id=CVE-2024-23445
It was identified that if a cross-cluster API key https://www.elastic.co/guide/en/elasticsearch/reference/8.14/security-api-create-cross-cluster-api-key.html#security-api-create-cross-cluster-api-key-request-body restricts search for a given index using the query or the field_security parameter, and the same cross-cluster API key also grants replication for the same index, the search restrictions are not enforced during cross cluster search operations and search results may include documents and terms that should not be returned. This issue only affects the API key based security model for remote clusters https://www.elastic.co/guide/en/elasticsearch/reference/8.14/remote-clusters.html#remote-clusters-security-models that was previously a beta feature and is released as GA with 8.14.0 Se identificó que si se utiliza una clave API entre clústeres https://www.elastic.co/guide/en/elasticsearch/reference/8.14/security-api-create-cross-cluster-api-key.html#security-api -create-cross-cluster-api-key-request-body restringe la búsqueda de un índice determinado utilizando la consulta o el parámetro field_security, y la misma clave API entre clústeres también otorga replicación para el mismo índice, las restricciones de búsqueda no se aplican durante las operaciones de búsqueda entre grupos y los resultados de la búsqueda pueden incluir documentos y términos que no deben devolverse. Este problema solo afecta el modelo de seguridad basado en clave API para clústeres remotos https://www.elastic.co/guide/en/elasticsearch/reference/8.14/remote-clusters.html#remote-clusters-security-models que anteriormente era un función beta y se lanza como GA con 8.14.0 • https://discuss.elastic.co/t/elasticsearch-8-14-0-security-update-esa-2024-13/360898 • CWE-922: Insecure Storage of Sensitive Information •