漏洞关键信息总结 漏洞概述 Kibana Fleet 中存在错误授权漏洞（CWE-863），可能导致信息泄露（CAPEC-122）。拥有有限 Fleet 权限的用户可利用内部 API 端点检索敏感配置数据（包括私钥和认证令牌），这些数据本应仅对拥有更高级设置权限的用户可见。该端点通过直接获取并返回完整的配置对象来构建响应，从而绕过了专用设置 API 强制执行的授权检查。 影响范围 受影响版本: 8.x: 8.0.0 至 8.19.13 (含) 9.x: 9.0.0 至 9.2.7 (含) 9.x: 9.3.0 至 9.3.2 (含) 受影响配置: 启用了 Fleet 且用户被授予了 Fleet Agents 权限但未授予 Fleet Settings 权限的部署。 注意：Fleet 在 Kibana 中默认可用，但利用漏洞需要用户被明确分配了 Fleet agent 管理权限。 修复方案 升级: 升级至以下安全版本：8.19.14, 9.2.8, 9.3.3。 无法升级时的缓解措施: 审查 Fleet 角色分配，确保拥有 Fleet agent 权限的用户可信任访问 Fleet 配置数据，或在升级前从不可信用户处移除 Fleet agent 权限。 轮换可能通过受影响端点泄露的任何代理凭据（私钥、认证令牌）。 监控: 审查 Kibana 审计日志，查找无 Fleet 设置权限的用户访问 Fleet 注册设置端点的行为。仅拥有 Fleet agent 权限的用户的异常访问模式可能表明已被利用。 其他信息 CVE ID: CVE-2026-33461 严重程度: High (7.7) Elastic Cloud Serverless**: 该漏洞已在 Elastic Cloud Serverless 产品中通过持续部署和修补模式得到修复。