Elastic Patch Múltiples Vulnerabilidades

Elastic ha publicado actualizaciones de seguridad críticas para Kibana, corrigiendo múltiples vulnerabilidades que podrían permitir ataques como Server-Side Request Forgery (SSRF) y Cross-Site Scripting (XSS). Estas fallas afectan varias versiones y requieren actualización inmediata para evitar exposición de información y posibles compromisos del sistema.

Vulnerabilidades Detalladas

CVE IDSeveridadComponenteDescripciónSolución
CVE-2025-37734Media (CVSS 4.3)Observability AI AssistantPermite manipular cabeceras HTTP Origin para realizar solicitudes a recursos internos o externos.Actualizar a 8.19.7, 9.1.7 o 9.2.1
CVE-2025-59840Alta (CVSS 8.7)Motor VegaInyección de JavaScript malicioso mediante visualizaciones Vega.Actualizar a versiones corregidas o deshabilitar Vega temporalmente.
CVE-2026-0628AltaWebView tagAplicación insuficiente de políticas en el componente WebView tag que permite evadir restricciones de seguridad.Actualizar a versiones corregidas.

Productos Afectados

Producto: Kibana
Versiones vulnerables: 8.12.0–8.19.6, 9.1.0–9.1.6, 9.2.0
Versiones corregidas: 8.19.7, 9.1.7, 9.2.1

Recomendaciones

– Los usuarios deben actualizar a la versión Kibana 8.19.10, 9.1.10, 9.2.4.
– Los clientes que no pueden actualizar, pueden desactivar el tipo de conector estableciendo el valor apropiado en xpack.actions.enabledActionTypes. En configuración de Kibana.
 

Conclusión

La actualización inmediata es fundamental para mitigar riesgos de explotación y mantener la seguridad de las plataformas basadas en Elastic Kibana.

Referencias