BDU:2025-12640: Уязвимость сервиса визуализации данных Kibana, связанная с непринятием мер по защите структуры веб-страницы, позволяющая проводить межсайтовые сценарные атаки (XSS)
Детали уязвимости BDU:2025-12640
Описание
Уязвимость сервиса визуализации данных Kibana связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки (XSS) путем загрузки специально созданного файла
Что делать с BDU:2025-12640
Высокая уязвимость (CVSS 8.7) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:NAV:N/AC:L/Au:S/C:C/I:C/A:NCWE — тип уязвимости
CVE — международный идентификатор
Позволяет внедрить вредоносный JavaScript-код в веб-страницу, который выполнится в браузере жертвы. Приводит к краже cookies, перенаправлению, подмене контента.
Как атакуют и что делать ▾
Сценарий атаки
Злоумышленник внедряет JavaScript через форму поиска или URL-параметр. При открытии страницы жертвой скрипт выполняется в контексте её сессии.
Последствия
Кража cookies и токенов сессии, перенаправление на фишинг, подмена контента страницы.
Рекомендации
Экранируйте вывод (output encoding), настройте Content-Security-Policy заголовки, валидируйте ввод на сервере.
Тактики и техники
Уязвимое ПО (5)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Elastic NV | Kibana | от 7.0.0 до 7.17.29 включительно | Не указана |
| Elastic NV | Kibana | от 8.0.0 до 8.18.7 включительно | Не указана |
| Elastic NV | Kibana | от 8.19.0 до 8.19.4 включительно | Не указана |
| Elastic NV | Kibana | от 9.0.0 до 9.0.7 включительно | Не указана |
| Elastic NV | Kibana | от 9.1.0 до 9.1.4 включительно | Не указана |
Рекомендации по устранению
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - настройка механизма отображения файлов путем установления значения «true» для параметра discover:searchFieldsFromSource; - ограничение возможности загрузки файлов на сервис; - использование антивирусного программного обеспечения для проверки посещаемых страниц; - использование средств межсетевого экранирования для ограничения удаленного доступа к уязвимому сервису; - ограничение доступа к уязвимому сервису, используя схему доступа по «белым спискам»; - использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимости; - ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет); - минимизация пользовательских привилегий; - отключение/удаление неиспользуемых учётных записей пользователей. Использование рекомендаций: https://discuss.elastic.co/t/kibana-8-18-8-8-19-5-9-0-8-and-9-1-5-security-update-esa-2025-20/382449
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 8.7
Уточните SLA под вашу среду
Базовый балл 8.7 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2025-10-06
Опубликована
2025-10-08
Обновлена
2025-10-08
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.
- Уязвимости → активы → ответственные — цепочка за минуту
- SLA-таймеры и эскалация — дедлайны не горят
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость сервиса визуализации данных Kibana, связанная с ошибками авторизации, позволяющая нарушителю повысить привиле
Уязвимость сервиса визуализации данных Kibana, связанная с ошибками авторизации, позволяющая нарушителю повысить привиле
Уязвимость библиотеки Vega сервиса визуализации данных Kibana, позволяющая нарушителю проводить межсайтовые сценарные ат
Уязвимость средства мониторинга Synthetics сервиса визуализации данных Kibana, позволяющая нарушителю повысить свои прив
Уязвимость функций Machine Learning и Reporting сервиса визуализации данных Kibana, позволяющая нарушителю выполнить про
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.