Неправильный контроль генерации кода («внедрение кода») (CWE-94) на Fleet Server может привести к выполнению содержимого сценария, предоставленного злоумышленником, посредством внедрения кода (CAPEC-242). Kibana приняла идентификатор выходной конфигурации, не ограничивая его безопасными символами. Этот идентификатор позже помещается в серверный сценарий, который Fleet Server создает в рамках обычной обработки политики агента, поэтому синтаксис сценария, встроенный в идентификатор, становится частью выполняемого сценария, а не обрабатывается как данные.
Показать оригинальное описание (EN)
Improper Control of Generation of Code ('Code Injection') (CWE-94) in Fleet Server can lead to the execution of attacker-supplied script content via Code Injection (CAPEC-242). Kibana accepted an identifier for an output configuration without restricting it to safe characters. That identifier is later placed into a server-side script that Fleet Server builds as part of routine agent policy processing, so script syntax embedded in the identifier became part of the script that was executed rather than being treated as data.
Характеристики атаки
Последствия
Строка CVSS v3.1