Kibana代码执行缝隙安全公告

颁布功夫 2019-10-18

缝隙编号和级别


CVE编号：暂无，，，，，危险级别：高危，，，，，CVSS分值：厂商自评：官方未评定


影响版本


Kibana < 6.6.0


缝隙概述


Kibana 是为 Elasticsearch设计的开源分析和可视化平台。 。。 。 。。用户能够使用 Kibana 来搜索、查看存储在 Elasticsearch 索引中的数据并与之交互，，，，，并且能够很容易实现高级的数据分析和可视化，，，，，以图标的大局展示出来。 。。 。 。。用户能够在大量数据之上创建条形图，，，，，折线图和散点图，，，，，或饼图和地图。 。。 。 。。


Kibana还提供了一个称为Canvas的演示工具，，，，，用户能够利用该工具来创建幻灯片平台，，，，，并且直接从Elasticsearch中获取实时数据。 。。 。 。。并且Elasticsearch，，，，，Logstash和Kibana的组合能够作为数据服务产品。 。。 。 。。Logstash向Elasticsearch提供输入流以进行存储和搜索，，，，，而Kibana则接见数据以进行可视化。 。。 。 。。


Kibana存在代码执行缝隙，，，，，该缝隙存在于Kibana节点的环境变量中，，，，，攻击者可能通过传染的节点环境变量来机关远程代码执行攻击，，，，，而后通过进一步的渗入攻击，，，，，从而实现齐全远程收受整个服务器的主张，，，，，该缝隙利用方式较为单一，，，，，风险性较大。 。。 。 。。


通过网络空间搜索引擎能够得知，，，，，在全球领域内，，，，，对互联网盛开的Kibana网站有近8万个。 。。 。 。。



缝隙验证



暂无POC/EXP。 。。 。 。。


建复建议


目前官方暂未进行安全更新，，，，，使用该系统的用户可时刻关注官方网站获取最新的安全更新，，，，，官方网站地址为：https://elasticsearch.cn/。 。。 。 。。


参考链接


https://elasticsearch.cn/