Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)安全风险通告

admin 2025年5月7日15:54:22评论1 views字数 1374阅读4分34秒阅读模式

● 点击↑蓝字关注我们,获取更多安全风险通告

漏洞概述

漏洞名称

Elastic Kibana 原型污染致任意代码执行漏洞

漏洞编号

QVD-2025-18453,CVE-2025-25014

公开时间

2025-05-06

影响量级

十万级

奇安信评级

高危

CVSS 3.1分数

9.1

威胁类型

代码执行

利用可能性

POC状态

未公开

在野利用状态

未发现

EXP状态

未公开

技术细节状态

未公开

危害描述:攻击者利用该漏洞后,可以在受影响的系统上执行任意代码,可能导致数据泄露、系统被完全控制等严重后果。

01
漏洞详情
>>>>

影响组件

Kibana 是一款开源的数据可视化和分析平台,主要用于与 Elasticsearch 集成,帮助用户通过直观的界面和丰富的可视化工具快速分析和探索数据,广泛应用于日志分析、实时监控和数据洞察等领域。

>>>>

漏洞描述

近日,奇安信CERT监测到官方修复Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014),该漏洞源于 Kibana 中机器学习和报告端点的原型污染问题,攻击者可以通过精心构造的文件上传和特定的 HTTP 请求绕过验证机制,攻击者利用该漏洞后,可以在受影响的系统上执行任意代码,可能导致数据泄露、系统被完全控制等严重后果。鉴于此漏洞影响范围较大,建议客户尽快做好自查及防护。
02
影响范围
>>>>

影响版本

8.3.0 <= Kibana <= 8.17.5

Kibana = 8.18.0
Kibana = 9.0.0

>>>>

其他受影响组件

03
受影响资产情况

奇安信鹰图资产测绘平台数据显示,Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)关联的国内风险资产总数为69619个,关联IP总数为13216个。国内风险资产分布情况如下:

Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)安全风险通告
Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)关联的全球风险资产总数为139829个,关联IP总数为33314个。全球风险资产分布情况如下:
Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)安全风险通告
04
处置建议
>>>>

安全更新

目前官方已有可更新版本,建议受影响用户升级至最新版本:

Kibana >= 8.17.6

Kibana >= 8.18.1

Kibana >= 9.0.1

下载链接

https://github.com/elastic/kibana/releases

修复缓解措施:

kibana.yml中禁用机器学习和报告端点功能:

xpack.ml.enabled: false

xpack.ml.ad.enabled: false

xpack.reporting.enabled: false

05
参考资料

[1]https://discuss.elastic.co/t/kibana-8-17-6-8-18-1-or-9-0-1-security-update-esa-2025-07/377868

[2]https://securityonline.info/cve-2025-25014-cvss-9-1-prototype-pollution-in-kibana-opens-door-to-code-execution/

06
时间线

2025年5月7日,奇安信 CERT发布安全风险通告。

07

原文始发于微信公众号(奇安信 CERT):Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)安全风险通告

免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉。
  • 左青龙
  • 微信扫一扫
  • weinxin
  • 右白虎
  • 微信扫一扫
  • weinxin
admin
  • 本文由 发表于 2025年5月7日15:54:22
  • 转载请保留本文链接(CN-SEC中文网:感谢原作者辛苦付出):
                   Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)安全风险通告https://cn-sec.com/archives/4037215.html
                  免责声明:文章中涉及的程序(方法)可能带有攻击性,仅供安全研究与教学之用,读者将其信息做其他用途,由读者承担全部法律及连带责任,本站不承担任何法律及连带责任;如有问题可邮件联系(建议使用企业邮箱或有效邮箱,避免邮件被拦截,联系方式见首页),望知悉.

发表评论

匿名网友 填写信息