Kritisches Sicherheitsupdate für Kibana veröffentlicht (ESA-2025-07)

Elastic hat ein Sicherheitsupdate für Kibana veröffentlicht, das eine kritische Schwachstelle (CVE-2025-25014) behebt. Die Schwachstelle ermöglicht eine willkürliche Codeausführung durch sogenannte “Prototype Pollution”-Angriffe über speziell präparierte HTTP-Anfragen an die Machine Learning- und Reporting-Schnittstellen.

Betroffen sind Kibana-Versionen 8.3.0 bis 8.17.5, 8.18.0 und 9.0.0 mit aktivierten Funktionen für Machine Learning und Reporting.

Elastic empfiehlt dringend ein Upgrade auf die Versionen 8.17.6, 8.18.1 oder 9.0.1. Nutzer, die derzeit nicht upgraden können, sollten entweder die Machine-Learning- oder die Reporting-Funktion deaktivieren.

Die Schwachstelle ist als kritisch eingestuft (CVSS 9.1).

Mehr zum Thema Kibana:

Lesen Sie auch unseren kürzlich erschienenen Artikel zur RCE Schwachstelle.

Tags :

Related Posts

Ransomware Angriff auf Vergleichsportal guenstiger.de

Am 23. April 2025 gab die guenstiger.de GmbH via LinkedIn bekannt, dass sie in der vergangenen Nacht Opfer einer Ransomware-Attacke wurde. Infolge des Angriffs kommt es aktuell zu technischen Einschränkungen auf der Website sowie in der Kunden­kommunikation. Die IT-Spezialisten des Vergleichsportals arbeiten mit Hochdruck an einer Lösung, während Partner und Kunden gebeten werden, eingehende Nachrichten und Anrufe besonders sorgfältig zu prüfen.

Read More

Chinesischen E-Autos: Mögliche Spionage durch Fahrzeugvernetzung​

Britische Rüstungsunternehmen haben ihre Mitarbeiter angewiesen, ihre Mobiltelefone nicht mit chinesischen Elektrofahrzeugen zu verbinden. Grund dafür sind Bedenken, dass durch die Verbindung sensible Daten von Peking abgegriffen werden könnten. Moderne E-Autos verfügen über zahlreiche Sensoren, Kameras und Internetverbindungen, die potenziell zur Datenübertragung genutzt werden könnten. Insbesondere Personen in sicherheitsrelevanten Positionen wird geraten, Vorsicht walten zu lassen. Obwohl es bisher keine öffentlichen Beweise für einen Missbrauch gibt, bleibt die Sorge vor möglichen Sicherheitsrisiken bestehen. Weitere Informationen finden Sie im Artikel des Guardian.

Read More

Kritische Sicherheitslücken in Grafana gepatcht

Am 22. April 2025 hat Grafana Labs für alle aktuellen Zweige von Grafana OSS und Enterprise Sicherheitspatches veröffentlicht (u. a. Grafana 11.6.0+security-01, 11.5.3+security-01, 11.4.3+security-01, 11.3.5+security-01, 11.2.8+security-01 und 10.4.17+security-01). Enthalten sind ein High-Severity-Fix für CVE-2025-3260 (Umgehung von Dashboard-Rechten für Viewer und Editor) sowie Medium-Severity-Patches für CVE-2025-2703 (DOM-XSS im XY-Chart-Plugin) und CVE-2025-3454 (Autorisierungs-Bypass in der Data-Source-Proxy-API). Grafana Cloud sowie Managed-Services bei AWS und Azure wurden vorab gepatcht. Betreiber sollten umgehend auf die genannten Versionen aktualisieren, um ihre Systeme zu schützen.

Read More