【漏洞预警】Kibana 代码执行漏洞 (CVE-2023-31414,CVE-2023-31415)

漏洞简介

漏洞详情

近日，飓风安全应急团队监测到Elastic发布安全公告，修复了2个存在于Kibana中的代码执行漏洞，详情如下：

1.CVE-2023-31414 Kibana 代码执行漏洞

风险等级：高危

漏洞类型：代码执行

漏洞简介：对Uptime/Synthetics功能所有权限的攻击者可利用漏洞编写恶意JavaScript攻击载荷， 从而在Kibana主机中执行任意系统命令。

受影响版本：8.0.0 <= Kibana <= 8.7.0

2.CVE-2023-31415 Kibana 代码执行漏洞

风险等级：高危

漏洞类型：代码执行

漏洞简介：对Kibana yaml/env配置具有写入权限的攻击者可利用漏洞编写恶意JavaScript攻击载荷， 从而在Kibana主机中执行任意系统命令。

受影响版本：Kibana = 8.7.0

【安全版本】

• Kibana = 8.7.1

Kibana是Elasticsearch的开源数据可视化仪表板。它在Elasticsearch集群上索引的内容之上提供可视化功能。用户可以在大量数据之上创建条形图，折线图和散点图，或饼图和地图。

参考链接

https://discuss.elastic.co/t/kibana-8-7-1-security-updates/332330

修复方案

临时修复建议：

• 如果目前无法升级，若业务环境允许，使用IP白名单限制web端口的访问来降低风险。

通用修复建议：

官方已经针对漏洞发布了版本更新，下载地址如下：

• https://www.elastic.co/cn/downloads/kibana

原文始发于微信公众号（飓风网络安全）：【漏洞预警】Kibana 代码执行漏洞 (CVE-2023-31414,CVE-2023-31415)