An update of the kibana package has been released.

Kibanaバージョン5.3.0～6.4.1には、ソースフィールドフォーマッターによるクロスサイトスクリプティング（XSS）の脆弱性があり、攻撃者が他のKibanaユーザーから秘密情報を取得したり、他のユーザーに代わって破壊的な操作を行う可能性があります。

Red Hat OpenShift Container Platform 3.11の更新プログラムが利用可能になりました。Red Hat製品セキュリティは、この更新がセキュリティに及ぼす影響を重要度最高と評価しています。詳細な重要度評価を示すCVSS（共通脆弱性評価システム）ベーススコアは、「参照」セクションのCVEリンクから脆弱性ごとに入手できます。Red Hat OpenShift Container Platformは、オンプレミスまたはプライベートクラウド展開用に設計された、Red HatのクラウドコンピューティングKubernetesアプリケーションプラットフォームソリューションです。セキュリティ修正プログラム：* OpenShift Container Platform 3.xに権限昇格の脆弱性があります。これにより、通常のユーザー権限でスケジュールされている計算ノードで実行中のポッドが侵害される可能性があります。このアクセスには、特権コンテナ内を含むすべての秘密情報、ポッド、環境変数、実行中のポッド/コンテナプロセス、永続的なボリュームへのアクセスが含まれます。さらに、OpenShift Container Platformのバージョン3.6以降では、この脆弱性により、集約APIサーバーでホストされている任意のAPIに、クラスター管理者レベルでアクセスされる可能性があります。これには、3.7以降ではデフォルトでインストールされる「servicecatalog」APIが含まれます。クラスター管理者レベルでサービスカタログにアクセスすると、認証されていないユーザーが昇格された権限で、任意の名前空間や任意のノードでブローカーサービスを作成できます。これにより、攻撃者が悪意のあるコードを展開したり、既存のサービスを改ざんしたりする可能性があります。（CVE-2018-1002105）* nodejs：UCS-2エンコーディングによる領域外（OOB）書き込み（CVE-2018-12115）* kibana：ソースフィールドフォーマッターによるクロスサイトスクリプティング（CVE-2018-3830）スペースの関係上、すべてのバグ修正と拡張がこのアドバイザリに記載されているわけではありません。これらの変更の詳細については、次のリリースノートのドキュメントを参照してください：https://docs.openshift.com/container-platform/3.11/release_notes/ ocp_3_11_release_notes.html：OpenShift Container Platform 3.11のすべてのユーザーは、これらの更新済みパッケージとイメージにアップグレードすることが推奨されます。

Kibana 5.3.0 版至 6.4.1 版有一個透過來源欄位格式器的跨網站指令碼 (XSS) 弱點，其可允許攻擊者取得其他 Kibana 使用者的敏感資訊或代表其他 Kibana 使用者執行破壞性動作。

The remote Redhat Enterprise Linux 7 host has packages installed that are affected by multiple vulnerabilities as referenced in the RHSA-2018:3537 advisory.

    Red Hat OpenShift Container Platform is Red Hat's cloud computing Kubernetes application platform solution     designed for on-premise or private cloud deployments.

    Security Fix(es):

    * A privilege escalation vulnerability exists in OpenShift Container Platform 3.x which allows for     compromise of pods running on a compute node to which a pod is scheduled with normal user privilege. This     access could include access to all secrets, pods, environment variables, running pod/container processes,     and persistent volumes, including in privileged containers. Additionally, on versions 3.6 and higher of     OpenShift Container Platform, this vulnerability allows cluster-admin level access to any API hosted by an     aggregated API server. This includes the servicecatalog API which is installed by default in 3.7 and     later. Cluster-admin level access to the service catalog allows creation of brokered services by an     unauthenticated user with escalated privileges in any namespace and on any node. This could lead to an     attacker being allowed to deploy malicious code, or alter existing services. (CVE-2018-1002105)

    * nodejs: Out of bounds (OOB) write via UCS-2 encoding (CVE-2018-12115)

    * kibana: Cross-site scripting via the source field formatter (CVE-2018-3830)

    Space precludes documenting all of the bug fixes and enhancements in this advisory. See the following     Release Notes documentation for details about these changes:

    https://docs.openshift.com/container-platform/3.11/release_notes/ocp_3_11_release_notes.html

    All OpenShift Container Platform 3.11 users are advised to upgrade to these updated packages and images.

Tenable has extracted the preceding description block directly from the Red Hat Enterprise Linux security advisory.

Note that Nessus has not tested for these issues but has instead relied only on the application's self-reported version number.

現已提供適用於 Red Hat OpenShift Container Platform 3.11 的更新。Red Hat 產品安全性團隊已將此更新評等為具有重大安全性影響。可從〈參照〉一節的 CVE 連結中取得每個弱點之常見弱點評分系統 (CVSS) 的基本分數，其中包含有關嚴重性評等的詳細資訊。Red Hat OpenShift Container Platform 是 Red Hat 的雲端運算 Kubernetes 應用程式平台解決方案，專門針對內部部署或私有雲端部署而設計。安全性修正：* 在 OpenShift Container Platform 3.x 中存在一個權限提升弱點，允許在使用正常使用者權限排程 pod 的計算節點上入侵 pod。此存取可包含對所有密碼、pod、環境變數、執行中的 pod/容器程序以及持續磁碟區的存取，包括在具權限的容器中。此外，在 OpenShift Container Platform 3.6 版和更新版本上，此弱點允許對彙總 API 伺服器託管的 API，進行叢集管理員層級的存取。這包括在 3.7 版和更新版本中預設安裝的 ‘servicecatalog’ API。對服務目錄進行叢集管理員層級存取允許未經驗證的使用者使用提升的權限，在任何命名空間和任何節點上建立中介服務。這可導致允許攻擊者部署惡意程式碼或改變現有的服務。(CVE-2018-1002105) * nodejs：透過 UCS-2 編碼發生超出邊界 (OOB) 寫入 (CVE-2018-12115) * kibana：透過來源欄位格式器發生跨網站指令碼 (CVE-2018-3830) 因空間所限，無法在此公告中記錄所有錯誤修正與增強功能。如需有關這些變更的詳細資訊，請參閱下列版本資訊文件：https://docs.openshift.com/container-platform/3.11/release_notes/ ocp_3_11_release_notes.html 建議所有 OpenShift Container Platform 3.11 使用者皆升級至這些更新版套件和影像。

通过源字段格式化程序，Kibana 5.3.0 到 6.4.1 版本存在跨站脚本 (XSS) 漏洞，此漏洞可允许攻击者代表其他 Kibana 用户从中获取敏感信息或执行破坏性操作。

Kibana versions 5.3.0 to 6.4.1 had a cross-site scripting (XSS) vulnerability via the source field formatter that could allow an attacker to obtain sensitive information from or perform destructive actions on behalf of other Kibana users.

有个更新现可用于 Red Hat OpenShift Container Platform 3.11。Red Hat 产品安全团队已将此更新评级为具有重要安全影响。可从“参考”部分中的 CVE 链接获取通用漏洞评分系统 (CVSS) 基本分数，其针对每个漏洞给出了详细的严重性等级。Red Hat OpenShift Container Platform 是 Red Hat 的云计算 Kubernetes 应用程序平台解决方案，专门针对本地部署或私有云端部署而设计。安全修复：* 在 OpenShift Container Platform 3.x 中存在权限提升漏洞，允许在使用正常用户权限安排 pod 的计算节点上入侵 pod。此访问可包含对所有密码、pod、环境变量、运行中的 pod/容器程序以及持久卷的访问，包括在具权限的容器中。此外，在 OpenShift Container Platform 3.6 版和更新版本上，此漏洞允许对聚合 API 服务器托管的 API，进行群集管理员级别的访问。这包括在 3.7 版和更新版本中默认安装的 ‘servicecatalog’ API。对服务目录进行群集管理员级别访问允许未经验证的用户使用提升的权限，在任何命名空间和任何节点上创建中转服务。这可导致允许攻击者部署恶意代码或改变现有的服务。(CVE-2018-1002105) * nodejs：通过 UCS-2 编码发生超界 (OOB) 写入 (CVE-2018-12115) * kibana：通过来源字段格式化程序发生跨站脚本 (CVE-2018-3830) 因空间所限，无法在此公告中记录所有缺陷修复与增强功能。如需有关这些变更的详细信息，请参阅下列版本说明文件：https://docs.openshift.com/container-platform/3.11/release_notes/ ocp_3_11_release_notes.html 建议所有 OpenShift Container Platform 3.11 用户升级到这些更新版程序包和图像。

ID	名称	产品	系列	发布时间	最近更新时间	严重程度
203091	Photon OS 2.0: Kibana PHSA-2019-2.0-0126	Nessus	PhotonOS Local Security Checks	2024/7/23	2024/7/23	medium
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
119408	RHEL 7：OpenShift Container Platform 3.11（RHSA-2018:3537）	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
119408	RHEL 7 : OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
119408	RHEL 7：OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
117666	Kibana ESA-2018-14	Nessus	CGI abuses	2018/9/24	2019/11/1	medium
122900	Photon OS 1.0: Kibana PHSA-2019-1.0-0205	Nessus	PhotonOS Local Security Checks	2019/3/18	2022/5/23	medium
119408	RHEL 7：OpenShift Container Platform 3.11 (RHSA-2018:3537)	Nessus	Red Hat Local Security Checks	2018/12/4	2024/11/6	critical

检测

插件搜索

medium

medium

critical

medium

critical

critical

medium

medium

medium

critical