Kibana 中存在不必要的权限执行漏洞，可能导致读取超出其直接 Elasticsearch RBAC 范围的索引数据

Kibana 中的 CVE-2026-4498，CVSS 评分为 7.7，影响 Fleet 插件，允许拥有 Fleet 子功能权限（例如代理、代理策略和设置管理）的经过身份验证的用户读取 Elasticsearch 中超出其直接 RBAC 范围的索引数据。这是由于 Fleet 插件的调试路由处理程序中存在不当的权限处理，从而可能导致特权滥用（CAPEC-122）。风险在于可能泄露存储在 Elasticsearch 中的敏感信息，即使用户没有这些索引的直接权限。由于存在未经授权访问关键数据的可能性，因此严重程度为中等到高。

Organizations heavily reliant on Kibana for data visualization and management, particularly those using the Fleet plugin for agent management and data collection, are at risk. Deployment patterns that grant broad Fleet privileges to a large number of users increase the potential impact. Shared hosting environments where multiple users share a Kibana instance are also particularly vulnerable.

• nodejs: Monitor Kibana logs for unusual requests targeting the Fleet plugin's debug routes. Look for patterns indicating attempts to access Elasticsearch indices outside of expected RBAC permissions.

grep -i 'fleet/debug' /var/log/kibana/*

• linux / server: Examine Elasticsearch audit logs for unauthorized access attempts to indices. Correlate these events with Kibana user activity.

journalctl -u elasticsearch -g 'access denied' | grep -i 'fleet'

• generic web: Use curl to probe the Kibana Fleet plugin's debug endpoints and observe the responses for any unexpected data exposure.

curl -u <kibana_user:password> http://<kibana_host>/api/fleet/debug

1. 2026-04-08Disclosure

   disclosure

1. 已保留2026-03-20
2. 发布日期2026-04-08
3. 修改日期2026-04-09
4. EPSS 更新日期2026-04-16

CVE-2026-4498 的主要缓解措施是将 Kibana 升级到 8.19.14 或更高版本。此更新通过限制 Fleet 插件的调试路由访问并确保只有具有适当权限的用户才能访问数据来修复漏洞。此外，建议审查并限制 Kibana 中用户的权限，尤其是那些具有 Fleet 插件访问权限的用户。监控 Kibana 日志中与 Fleet 插件相关的可疑活动也有助于检测和响应潜在的利用尝试。实施最小权限原则对于降低风险至关重要。