A Elastic anunciou uma atualização urgente para corrigir uma vulnerabilidade crítica no Kibana, ferramenta de visualização de dados do Elasticsearch. Essa falha de segurança pode permitir a execução remota de código, colocando usuários em risco.
Elastic libera atualização emergencial para corrigir falha grave no Kibana
A falha, identificada como CVE-2025-25012, recebeu uma pontuação CVSS de 9,9, indicando um risco extremamente alto. O problema está relacionado à poluição de protótipo, uma vulnerabilidade que possibilita que invasores manipulem objetos JavaScript do sistema. Isso pode resultar em acesso não autorizado, escalonamento de privilégios, negação de serviço ou até execução remota de código malicioso.
A brecha afeta todas as versões do Kibana entre 8.15.0 e 8.17.3, sendo corrigida na versão 8.17.3.
Exploração e mitigação
O risco de exploração varia conforme a versão do Kibana:
Notícias Relacionadas
Bug crítico no Veeam permite invasão de backup: atualize agora
A Veeam corrigiu uma falha crítica que permite invasores explorarem servidores de backup associados a domínios. Atualize para a versão 12.3.1 agora para evitar ataques.
Cibersegurança
Falhas críticas do Cisco Smart Licensing Utility são exploradas em ataques
Hackers estão explorando falhas críticas no Cisco Smart Licensing Utility (CSLU), permitindo acesso remoto não autorizado. A Cisco corrigiu as vulnerabilidades, mas sistemas sem atualização continuam expostos a ataques.
- Nas versões 8.15.0 até 8.17.1, apenas usuários com a função Viewer podem explorar a falha.
- Nas versões 8.17.1 e 8.17.2, a exploração requer permissões completas para Fleet, Integrações e Ações avançadas de conectores.
A Elastic recomenda a atualização imediata para a versão 8.17.3. Caso não seja possível aplicar o patch de imediato, uma medida temporária é configurar o sinalizador de recurso do Integration Assistant como falso no arquivo de configuração do Kibana (kibana.yml):
xpack.integration_assistant.enabled: falseHistórico de falhas semelhantes
Essa não é a primeira vulnerabilidade crítica no Kibana. Em agosto de 2024, a Elastic corrigiu a falha CVE-2024-37287, também relacionada à poluição de protótipo e com CVSS 9,9. Em setembro do mesmo ano, foram corrigidos dois problemas graves de desserialização (CVE-2024-37288, CVSS 9,9, e CVE-2024-37285, CVSS 9,1), ambos com potencial para execução arbitrária de código.
Conclusão
Dada a gravidade da falha CVE-2025-25012, é essencial que os administradores do Kibana apliquem a correção o mais rápido possível para evitar explorações e comprometimentos do sistema. A atualização está disponível no site oficial da Elastic.
