Elastic обнаружил проблему, из-за которой конфиденциальная информация записывается в журналы Kibana в случае ошибки. Проблема затрагивает т…
Elastic обнаружил проблему, из-за которой конфиденциальная информация записывается в журналы Kibana в случае ошибки. Проблема затрагивает только Kibana версии 8.10.0 при ведении журнала в формате JSON или когда макет шаблона настроен для ведения журнала шаблона %meta. Elastic выпустила Kibana 8.10.1, которая решает эту проблему. Объект ошибки, записанный в журнал, содержит информацию о запросе, которая может включать конфиденциальные данные, такие как учетные данные для аутентификации, файлы cookie, заголовки авторизации, параметры запроса, пути запроса и другие метаданные. Некоторые примеры конфиденциальных данных, которые могут быть включены в журналы, - это учетные данные для kibana_system, kibana-metricbeat или конечных пользователей Kibana.
Продукт записывает конфиденциальные сведения в файл журнала.
https://cwe.mitre.org/data/definitions/532.html →Открыть в коллекции CWE →Злоумышленник направляет случайные, некорректные или иным образом неожиданные сообщения целевому приложению и наблюдает за возвращаемыми журналами или сообщениями об ошибках приложения. Злоумышленник изначально не знает, как цель реагирует на отдельные сообщения, однако, перебирая большое количество вариантов сообщений, он может найти вариант, вызывающий желаемое поведение. В данной атаке целью фаззинга является наблюдение за журналом и сообщениями об ошибках приложения, хотя фаззинг цели иногда также может приводить к переходу цели в нестабильное состояние и её аварийному завершению.
https://capec.mitre.org/data/definitions/215.html →Открыть в коллекции CAPEC →