🛡️ Elastic ออกแพตช์แก้ช่องโหว่ Kibana (SSRF และ XSS) Elastic ได้ประกาศแก้ไขช่องโหว่ร้ายแรงสองรายการใน Kibana ซึ่งเป็นเครื่องมือ dashboard ของ Elastic Stack โดยช่องโหว่แรกคือ SSRF (CVE-2025-37734) ที่เกิดจากการตรวจสอบ Origin Header ไม่ถูกต้อง ทำให้ผู้โจมตีสามารถส่งคำขอปลอมไปยังระบบภายในได้ ส่วนช่องโหว่ที่สองคือ XSS (CVE-2025-59840) ที่เกิดจาก Vega visualization engine ไม่กรองข้อมูลอย่างเหมาะสม ทำให้ผู้โจมตีสามารถฝังโค้ด JavaScript และรันในเบราว์เซอร์ของผู้ใช้ได้ทันที ความรุนแรงของ XSS ถูกจัดอยู่ในระดับสูง (CVSS 8.7) ซึ่งอาจนำไปสู่การขโมย session หรือการเข้าควบคุมระบบ Elastic แนะนำให้ผู้ใช้รีบอัปเดตเป็นเวอร์ชัน 8.19.7, 9.1.7 หรือ 9.2.1 เพื่อแก้ไขปัญหานี้ หากยังไม่สามารถอัปเดตได้ทันที มีวิธีแก้ชั่วคราว เช่น ปิดการใช้งาน Vega visualization ใน self-hosted หรือแจ้ง Elastic Support ให้ปิดใน Elastic Cloud การโจมตีลักษณะนี้สะท้อนให้เห็นว่าฟีเจอร์ที่ช่วยให้ใช้งานง่ายขึ้น เช่น Vega หรือ AI Assistant อาจกลายเป็นช่องทางให้ผู้โจมตีใช้ประโยชน์ได้ น่าสนใจคือ Vega visualization engine ถูกเปิดใช้งานเป็นค่าเริ่มต้น ทำให้ผู้ใช้จำนวนมากเสี่ยงต่อการถูกโจมตีโดยไม่รู้ตัว การโจมตี SSRF ก็อันตรายไม่แพ้กัน เพราะสามารถใช้เพื่อเข้าถึงข้อมูลภายในที่ควรจะปลอดภัย การอัปเดตจึงเป็นสิ่งจำเป็นเร่งด่วนสำหรับทุกองค์กรที่ใช้ Kibana ✅ ช่องโหว่ SSRF (CVE-2025-37734) ➡️ เกิดจาก Origin Validation Error ใน Observability AI Assistant ✅ ช่องโหว่ XSS (CVE-2025-59840) ➡️ Vega visualization engine ไม่กรอง input ทำให้รัน JavaScript ได้ ✅ วิธีแก้ไข ➡️ อัปเดตเป็นเวอร์ชันล่าสุด หรือปิด Vega visualization ‼️ ความเสี่ยง ⛔ SSRF อาจเข้าถึงข้อมูลภายใน, XSS อาจขโมย session และรันโค้ดอันตราย https://securityonline.info/elastic-patches-two-kibana-flaws-ssrf-cve-2025-37734-and-xss-cve-2025-59840-flaws-affect-multiple-versions/