Kibana 5.3.0 版至 6.4.1 版有一個透過來源欄位格式器的跨網站指令碼 (XSS) 弱點，其可允許攻擊者取得其他 Kibana 使用者的敏感資訊或代表其他 Kibana 使用者執行破壞性動作。

現已提供適用於 Red Hat OpenShift Container Platform 3.11 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift Container Platform 是 Red Hat 的雲端運算 Kubernetes 應用程式平台解決方案，專門針對內部部署或私有雲端部署而設計。安全性修正：* 在 OpenShift Container Platform 3.x 中存在一個權限提升弱點，允許在使用正常使用者權限排程 pod 的計算節點上入侵 pod。此存取可包含對所有密碼、pod、環境變數、執行中的 pod/容器程序以及持續磁碟區的存取，包括在具權限的容器中。此外，在 OpenShift Container Platform 3.6 版和更新版本上，此弱點允許對彙總 API 伺服器託管的 API，進行叢集管理員層級的存取。這包括在 3.7 版和更新版本中預設安裝的 ‘servicecatalog’ API。對服務目錄進行叢集管理員層級存取允許未經驗證的使用者使用提升的權限，在任何命名空間和任何節點上建立中介服務。這可導致允許攻擊者部署惡意程式碼或改變現有的服務。(CVE-2018-1002105) * nodejs：透過 UCS-2 編碼發生超出邊界 (OOB) 寫入 (CVE-2018-12115) * kibana：透過來源欄位格式器發生跨網站指令碼 (CVE-2018-3830) 因空間所限，無法在此公告中記錄所有錯誤修正與增強功能。如需有關這些變更的詳細資訊，請參閱下列版本資訊文件：https://docs.openshift.com/container-platform/3.11/release_notes/ ocp_3_11_release_notes.html 建議所有 OpenShift Container Platform 3.11 使用者皆升級至這些更新版套件和影像。

遠端的 Red Hat Enterprise Linux CoreOS 3 主機安裝了受多項漏洞影響的套件，如公告中 RHSA-2018:3537 所述。

  - Kibana：透過來源欄位格式化器CVE-2018-3830（）進行跨站腳本化

  - nodejs：透過 UCS-2 編碼發生超出邊界 (OOB) 寫入 (CVE-2018-12115)

  - kubernetes：處理非 101 回應時發生驗證/授權繞過 (CVE-2018-1002105)

請注意，Nessus 並未測試這些問題，而是僅依據應用程式自我報告的版本號碼作出判斷。

通过源字段格式化程序，Kibana 5.3.0 到 6.4.1 版本存在跨站脚本 (XSS) 漏洞，此漏洞可允许攻击者代表其他 Kibana 用户从中获取敏感信息或执行破坏性操作。

有个更新现可用于 Red Hat OpenShift Container Platform 3.11。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。安全修复：* 在 OpenShift Container Platform 3.x 中存在权限提升漏洞，允许在使用正常用户权限安排 pod 的计算节点上入侵 pod。此访问可包含对所有密码、pod、环境变量、运行中的 pod/容器程序以及持久卷的访问，包括在具权限的容器中。此外，在 OpenShift Container Platform 3.6 版和更新版本上，此漏洞允许对聚合 API 服务器托管的 API，进行群集管理员级别的访问。这包括在 3.7 版和更新版本中默认安装的 ‘servicecatalog’ API。对服务目录进行群集管理员级别访问允许未经验证的用户使用提升的权限，在任何命名空间和任何节点上创建中转服务。这可导致允许攻击者部署恶意代码或改变现有的服务。(CVE-2018-1002105) * nodejs：通过 UCS-2 编码发生超界 (OOB) 写入 (CVE-2018-12115) * kibana：通过来源字段格式化程序发生跨站脚本 (CVE-2018-3830) 因空间所限，无法在此公告中记录所有缺陷修复与增强功能。如需有关这些变更的详细信息，请参阅下列版本说明文件：https://docs.openshift.com/container-platform/3.11/release_notes/ ocp_3_11_release_notes.html 建议所有 OpenShift Container Platform 3.11 用户升级到这些更新版程序包和图像。

远程的Red Hat Enterprise Linux CoreOS 3主机安装了受多个漏洞影响的软件包，如公告中 RHSA-2018:3537 提及的。

  - Kibana：通过源字段格式化器CVE-2018-3830（） 实现跨站脚本

  - nodejs：通过 UCS-2 编码发生超界 (OOB) 写入 (CVE-2018-12115) 

  - kubernetes：处理非 101 响应中的认证/授权绕过 (CVE-2018-1002105)

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

Kibanaバージョン5.3.0～6.4.1には、ソースフィールドフォーマッターによるクロスサイトスクリプティング（XSS）の脆弱性があり、攻撃者が他のKibanaユーザーから秘密情報を取得したり、他のユーザーに代わって破壊的な操作を行う可能性があります。

Red Hat OpenShift Container Platform 3.11の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* OpenShift Container Platform 3.xに権限昇格の脆弱性があります。これにより、通常のユーザー権限でスケジュールされている計算ノードで実行中のポッドが侵害される可能性があります。このアクセスには、特権コンテナ内を含むすべての秘密情報、ポッド、環境変数、実行中のポッド/コンテナプロセス、永続的なボリュームへのアクセスが含まれます。さらに、OpenShift Container Platformのバージョン3.6以降では、この脆弱性により、集約APIサーバーでホストされている任意のAPIに、クラスター管理者レベルでアクセスされる可能性があります。これには、3.7以降ではデフォルトでインストールされる「servicecatalog」APIが含まれます。クラスター管理者レベルでサービスカタログにアクセスすると、認証されていないユーザーが昇格された権限で、任意の名前空間や任意のノードでブローカーサービスを作成できます。これにより、攻撃者が悪意のあるコードを展開したり、既存のサービスを改ざんしたりする可能性があります。（CVE-2018-1002105）* nodejs：UCS-2エンコーディングによる領域外（OOB）書き込み（CVE-2018-12115）* kibana：ソースフィールドフォーマッターによるクロスサイトスクリプティング（CVE-2018-3830）スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、次のリリースノートのドキュメントを参照してください：https://docs.openshift.com/container-platform/3.11/release_notes/ ocp_3_11_release_notes.html：OpenShift Container Platform 3.11のすべてのユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。

リモートのRed Hat Enterprise Linux CoreOS 3ホストには、 RHSA-2018:3537 アドバイザリーで言及されている複数の脆弱性の影響を受けるパッケージがインストールされています。

  - kibana:ソースフィールドフォーマッター(CVE-2018-3830)を使ったクロスサイトスクリプト

  - nodejs: UCS-2 エンコーディングによる領域外 (OOB) 書き込み (CVE-2018-12115)

  - kubernetes: 非 101 応答の処理における認証/承認バイパス (CVE-2018-1002105)

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

Kibana versions 5.3.0 to 6.4.1 had a cross-site scripting (XSS) vulnerability via the source field formatter that could allow an attacker to obtain sensitive information from or perform destructive actions on behalf of other Kibana users.

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2018:3537 advisory.

    Red Hat OpenShift Container Platform is Red Hat's cloud computing Kubernetes application platform solution     designed for on-premise or private cloud deployments.

    Security Fix(es):

    * A privilege escalation vulnerability exists in OpenShift Container Platform 3.x which allows for     compromise of pods running on a compute node to which a pod is scheduled with normal user privilege. This     access could include access to all secrets, pods, environment variables, running pod/container processes,     and persistent volumes, including in privileged containers. Additionally, on versions 3.6 and higher of     OpenShift Container Platform, this vulnerability allows cluster-admin level access to any API hosted by an     aggregated API server. This includes the servicecatalog API which is installed by default in 3.7 and     later. Cluster-admin level access to the service catalog allows creation of brokered services by an     unauthenticated user with escalated privileges in any namespace and on any node. This could lead to an     attacker being allowed to deploy malicious code, or alter existing services. (CVE-2018-1002105)

    * nodejs: Out of bounds (OOB) write via UCS-2 encoding (CVE-2018-12115)

    * kibana: Cross-site scripting via the source field formatter (CVE-2018-3830)

    Space precludes documenting all of the bug fixes and enhancements in this advisory. See the following     Release Notes documentation for details about these changes:

    https://docs.openshift.com/container-platform/3.11/release_notes/ocp_3_11_release_notes.html

    All OpenShift Container Platform 3.11 users are advised to upgrade to these updated packages and images.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

The remote Red Hat Enterprise Linux CoreOS 3 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2018:3537 advisory.

  - kibana: Cross-site scripting via the source field formatter (CVE-2018-3830)

  - nodejs: Out of bounds (OOB) write via UCS-2 encoding (CVE-2018-12115)

  - kubernetes: authentication/authorization bypass in the handling of non-101 responses (CVE-2018-1002105)

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

An update of the kibana package has been released.

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
119408	RHEL 7：OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
312006	RHCOS 3 ：OpenShift 容器平台 3.11 （RHSA-2018:3537）	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	critical
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
119408	RHEL 7：OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
312006	RHCOS 3 ：OpenShift 容器平台 3.11 （RHSA-2018:3537）	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	critical
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
119408	RHEL 7：OpenShift Container Platform 3.11（RHSA-2018:3537）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
312006	RHCOS 3 : OpenShift コンテナプラットフォーム 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	critical
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
119408	RHEL 7 : OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
312006	RHCOS 3 : OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2026/5/4	2026/5/4	critical
122900	Photon OS 1.0: Kibana PHSA-2019-1.0-0205	Nessus	PhotonOS Local Security Checks	2019/3/18	2022/5/23	medium
203091	Photon OS 2.0: Kibana PHSA-2019-2.0-0126	Nessus	PhotonOS Local Security Checks	2024/7/23	2024/7/23	medium

检测

插件搜索

medium

critical

critical

medium

critical

critical

medium

critical

critical

medium

critical

critical

medium

medium