プラットフォーム
nodejs
コンポーネント
kibana
修正版
9.3.3
Kibana One Workflowにおける脆弱性により、認証されたユーザーがホストの許可リストを回避し、Server-Side Request Forgery (SSRF)攻撃を実行できる可能性があります。この脆弱性は、機密情報を含む内部エンドポイントへのアクセスを可能にするため、情報漏洩のリスクを高めます。影響を受けるバージョンはKibana 9.3.0から9.3.2です。この問題はKibana 9.3.3で修正されています。
Kibana One WorkflowにおけるCVE-2026-33458は、サーバーサイドリクエスト偽装（SSRF）の脆弱性により、情報漏洩のリスクをもたらします。ワークフローの作成と実行の権限を持つ認証されたユーザーは、ワークフロー実行エンジン内のホスト許可リストの制限を回避し、機密性の高い内部エンドポイントやデータへの暴露につながる可能性があります。CVSSの深刻度は6.8であり、中程度のリスクを示しています。この脆弱性に対処し、ElasticsearchおよびKibana環境内のデータの整合性と機密性を保護することが重要です。脆弱性の悪用には認証とKibana内の特定の権限が必要ですが、潜在的な影響は大きいです。
必要な役割（ワークフローの作成と実行）を持つ認証された攻撃者は、ワークフロー構成を操作して、通常はKibanaの範囲外にある内部ホストにリクエストを送信できます。これは、ワークフロー実行エンジン内のURL検証の不備を利用することで実現されます。この脆弱性は、ホスト許可リストを回避する能力に焦点を当てており、攻撃者が内部サービスにアクセスしたり、ファイルを読み取ったり、脆弱なシステムでコマンドを実行したりする可能性があります。悪用の成功は、環境構成と偽装されたリクエストを介してアクセス可能な内部サービスの存在に依存します。
エクスプロイト状況
EPSS
0.05% (15% パーセンタイル)
CISA SSVC
CVE-2026-33458の主な軽減策は、Kibanaをバージョン9.3.3以降にアップグレードすることです。このアップデートには、SSRF脆弱性を修正する修正が含まれています。さらに、Kibana内のアクセス制御ポリシーを見直し、強化して、ユーザーの権限を必要最小限に抑えることをお勧めします。ワークフロー実行に関連する疑わしいアクティビティについてKibanaログを監視することで、潜在的な悪用試行を検出し、対応できます。ファイアウォールや侵入検知システムなど、防御を深める戦略を実装することで、追加の保護レイヤーを提供できます。
Actualice Kibana a la versión 9.3.3 o posterior para mitigar la vulnerabilidad de SSRF. Esta actualización corrige la forma en que Kibana maneja las solicitudes del lado del servidor, evitando la exposición de endpoints internos y datos sensibles. Consulte las notas de la versión de Elastic para obtener instrucciones detalladas de actualización.
脆弱性分析と重要アラートをメールでお届けします。
SSRF（Server-Side Request Forgery）は、攻撃者がサーバーに攻撃者が制御するリソースへのリクエストを実行させることを可能にする脆弱性です。この場合、Kibanaは内部リソースにアクセスするように騙される可能性があります。
この脆弱性を悪用するには、「ワークフローの作成」と「ワークフローの実行」の役割が必要です。
すぐにアップグレードできない場合は、内部エンドポイントへのアクセスを制限し、Kibanaログを疑わしいアクティビティについて監視することを検討してください。
9.3.3より前のバージョンのKibanaを使用しており、One Workflowが有効になっている場合は、影響を受けている可能性が高いです。
この脆弱性に関する詳細と更新については、ElasticsearchおよびKibanaの公式ドキュメントを参照してください。
CVSS ベクトル