Kibanaにおける不要な権限での実行により、Elasticsearch RBACスコープ外のインデックスデータを読み取れる

Kibana の CVE-2026-4498 は、CVSS スコア 7.7 で評価されており、Fleet プラグインに影響を与え、Fleet のサブ機能特権 (エージェント、エージェントポリシー、設定管理など) を持つ認証済みユーザーが、直接の RBAC スコープを超えて Elasticsearch からインデックスデータを読み取ることができるようになります。これは、Fleet プラグインのデバッグルートハンドラーにおける不適切な特権処理が原因であり、特権の悪用 (CAPEC-122) を可能にします。リスクは、ユーザーがそれらのインデックスに対する直接的なアクセス権を持っていない場合でも、Elasticsearch に格納されている機密情報の潜在的な暴露にあります。深刻度は、重要なデータへの不正アクセス可能性のため、中程度から高くなります。

Organizations heavily reliant on Kibana for data visualization and management, particularly those using the Fleet plugin for agent management and data collection, are at risk. Deployment patterns that grant broad Fleet privileges to a large number of users increase the potential impact. Shared hosting environments where multiple users share a Kibana instance are also particularly vulnerable.

• nodejs: Monitor Kibana logs for unusual requests targeting the Fleet plugin's debug routes. Look for patterns indicating attempts to access Elasticsearch indices outside of expected RBAC permissions.

grep -i 'fleet/debug' /var/log/kibana/*

• linux / server: Examine Elasticsearch audit logs for unauthorized access attempts to indices. Correlate these events with Kibana user activity.

journalctl -u elasticsearch -g 'access denied' | grep -i 'fleet'

• generic web: Use curl to probe the Kibana Fleet plugin's debug endpoints and observe the responses for any unexpected data exposure.

curl -u <kibana_user:password> http://<kibana_host>/api/fleet/debug

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-03-20
2. 公開日2026-04-08
3. 更新日2026-04-09
4. EPSS 更新日2026-04-16

CVE-2026-4498 の主な軽減策は、Kibana をバージョン 8.19.14 以降にアップグレードすることです。このアップデートは、Fleet プラグインのデバッグルートへのアクセスを制限し、適切な特権を持つユーザーのみがデータにアクセスできるようにすることで、脆弱性を修正します。さらに、Fleet プラグインにアクセスできるユーザーの特権を Kibana で見直し、制限することをお勧めします。Fleet プラグインに関連する疑わしいアクティビティについて Kibana ログを監視することも、潜在的な悪用試行を検出および対応するのに役立ちます。リスクを軽減するために、最小特権の原則を実装することが重要です。