Kritisches Sicherheitsupdate für Kibana veröffentlicht (ESA-2025-07)

Elastic hat ein Sicherheitsupdate für Kibana veröffentlicht, das eine kritische Schwachstelle (CVE-2025-25014) behebt. Die Schwachstelle ermöglicht eine willkürliche Codeausführung durch sogenannte “Prototype Pollution”-Angriffe über speziell präparierte HTTP-Anfragen an die Machine Learning- und Reporting-Schnittstellen.

Betroffen sind Kibana-Versionen 8.3.0 bis 8.17.5, 8.18.0 und 9.0.0 mit aktivierten Funktionen für Machine Learning und Reporting.

Elastic empfiehlt dringend ein Upgrade auf die Versionen 8.17.6, 8.18.1 oder 9.0.1. Nutzer, die derzeit nicht upgraden können, sollten entweder die Machine-Learning- oder die Reporting-Funktion deaktivieren.

Die Schwachstelle ist als kritisch eingestuft (CVSS 9.1).

Mehr zum Thema Kibana:

Lesen Sie auch unseren kürzlich erschienenen Artikel zur RCE Schwachstelle.

Tags :

Related Posts

eBay aktualisiert Datenschutzerklärung – Nutzerbewertungen als KI‑Trainingsdaten

Seit Ostermontag weist eBay in seiner überarbeiteten Datenschutzerklärung darauf hin, dass Nutzerdaten künftig nicht nur für personalisierte Services, sondern auch zum Trainieren, Testen und Validieren eigener und Drittanbieter‑KI‑Modelle verwendet werden. Im März kam eine E‑Mail, die auf die Neuerung hinwies, ohne jedoch zu erläutern, welche Daten konkret betroffen sind oder wie genau sie zum Einsatz kommen.

Read More

Kritische Sicherheitslücke CVE-2025-31324 in SAP NetWeaver entdeckt

Eine gravierende Sicherheitslücke mit der Kennung CVE-2025-31324 gefährdet aktuell zahlreiche SAP-Systeme weltweit. Mit einer extrem kritischen Bewertung von 9,9 (CVSS) betrifft diese Schwachstelle den SAP NetWeaver Application Server Java. Konkret ermöglicht der Fehler unbefugten Zugriff auf den UDDI-Dienst (Universal Description, Discovery, and Integration) ohne jegliche Authentifizierung.

Read More

Die EU-Kommision verbietet KI Agenten in Web-Konferenzen

Die Europäische Kommission hat eine Grundregel erlassen, wonach virtuelle Assistenten auf Basis künstlicher Intelligenz nicht mehr an ihren Online‑Meetings teilnehmen dürfen, so berichtet POLITICO. Diese Vorgabe wurde Anfang April bei einer Telefonkonferenz mit Vertretern der digitalen Policy‑Support‑Netzwerke europaweit eingeführt und durch eine Meeting‑Etiquette‑Folie mit dem Satz „No AI Agents are allowed“ signalisiert. KI‑Agenten agieren autonom in virtuellen Umgebungen, können eigenständig Meetings beitreten, Notizen erstellen oder Informationen vortragen und wurden im „Virtual Worlds“-Paket der Kommission vom 31. März als softwarebasierte Assistenten mit definierten Vorgaben beschrieben. Obwohl die zugrunde liegenden KI‑Modelle bereits dem künftigen EU‑KI‑Gesetz unterliegen, reagiert die Kommission mit diesem Verbot auf zentrale Fragen der Transparenz, Rechenschaftspflicht und Sicherheit in digitalen Diskussionen.

Read More