Kritisches Sicherheitsupdate für Kibana veröffentlicht (ESA-2025-07)

Elastic hat ein Sicherheitsupdate für Kibana veröffentlicht, das eine kritische Schwachstelle (CVE-2025-25014) behebt. Die Schwachstelle ermöglicht eine willkürliche Codeausführung durch sogenannte “Prototype Pollution”-Angriffe über speziell präparierte HTTP-Anfragen an die Machine Learning- und Reporting-Schnittstellen.

Betroffen sind Kibana-Versionen 8.3.0 bis 8.17.5, 8.18.0 und 9.0.0 mit aktivierten Funktionen für Machine Learning und Reporting.

Elastic empfiehlt dringend ein Upgrade auf die Versionen 8.17.6, 8.18.1 oder 9.0.1. Nutzer, die derzeit nicht upgraden können, sollten entweder die Machine-Learning- oder die Reporting-Funktion deaktivieren.

Die Schwachstelle ist als kritisch eingestuft (CVSS 9.1).

Mehr zum Thema Kibana:

Lesen Sie auch unseren kürzlich erschienenen Artikel zur RCE Schwachstelle.

Tags :

Related Posts

eBay aktualisiert Datenschutzerklärung – Nutzerbewertungen als KI‑Trainingsdaten

Seit Ostermontag weist eBay in seiner überarbeiteten Datenschutzerklärung darauf hin, dass Nutzerdaten künftig nicht nur für personalisierte Services, sondern auch zum Trainieren, Testen und Validieren eigener und Drittanbieter‑KI‑Modelle verwendet werden. Im März kam eine E‑Mail, die auf die Neuerung hinwies, ohne jedoch zu erläutern, welche Daten konkret betroffen sind oder wie genau sie zum Einsatz kommen.

Read More

Kritische Sicherheitslücken in Grafana gepatcht

Am 22. April 2025 hat Grafana Labs für alle aktuellen Zweige von Grafana OSS und Enterprise Sicherheitspatches veröffentlicht (u. a. Grafana 11.6.0+security-01, 11.5.3+security-01, 11.4.3+security-01, 11.3.5+security-01, 11.2.8+security-01 und 10.4.17+security-01). Enthalten sind ein High-Severity-Fix für CVE-2025-3260 (Umgehung von Dashboard-Rechten für Viewer und Editor) sowie Medium-Severity-Patches für CVE-2025-2703 (DOM-XSS im XY-Chart-Plugin) und CVE-2025-3454 (Autorisierungs-Bypass in der Data-Source-Proxy-API). Grafana Cloud sowie Managed-Services bei AWS und Azure wurden vorab gepatcht. Betreiber sollten umgehend auf die genannten Versionen aktualisieren, um ihre Systeme zu schützen.

Read More

Exploit für Citrix Netscaler Lücke CVE-2024-6235 bekannt geworden

Citrix hat am 10. Juli 2024 eine kritische Sicherheitslücke unter der Kennung CVE-2024-6235 in der NetScaler Console bekanntgegeben, die bei Standard­konfigurationen in allen Versionen 14.1 bis einschließlich 14.1-25.53 vorhanden ist. Die Schwachstelle (CWE-287: Improper Authentication) erlaubt es einem nicht authentifizierten Angreifer, über einen internen API-Endpunkt eine gültige Admin-Session-ID auszulesen und damit neue Super-Admin-Konten anzulegen. Rapid7-Forschende verifizierten den Angriff und zählten bei einer Shodan-Abfrage 318 exponierte Installationen, es wurden bereits Exploits von Instanzen beobachtet. Betroffene Anwender sollten umgehend auf NetScaler Console Version 14.1-25.53 oder höher aktualisieren, um das Risiko eines vollständigen Systemübergriffs auszuschließen.

Read More