Elastic Kibana原型污染致任意代码执行漏洞（CVE-2025-25014）
💡
原文中文，约1600字，阅读约需4分钟。
📝
内容提要
绿盟科技CERT监测到Elastic发布安全公告，修复Kibana中的原型污染漏洞（CVE-2025-25014），该漏洞允许攻击者执行任意代码。受影响版本为8.3.0至8.17.5，建议用户及时升级或禁用相关功能以增强安全性。
🎯
关键要点
- 绿盟科技CERT监测到Elastic发布安全公告，修复Kibana中的原型污染漏洞（CVE-2025-25014）。
- 该漏洞允许攻击者执行任意代码，受影响版本为8.3.0至8.17.5。
- 建议用户及时升级或禁用相关功能以增强安全性。
- Kibana是一个开源的分析与可视化平台，设计用于和Elasticsearch协作。
- 受影响版本包括8.3.0至8.17.5，Kibana 8.18.0和9.0.0。
- 不受影响版本为Kibana 8.17.6及以上、8.18.1及以上和9.0.1及以上。
- 绿盟科技提供外部攻击面管理服务（EASM）支持CVE-2025-25014漏洞风险的互联网资产排查。
- 绿盟科技的自动化渗透测试工具（EZ）支持Kibana的指纹识别排查。
- 官方已发布新版本修复此漏洞，受影响用户应及时升级。
- 临时防护措施包括禁用Machine Learning和Reporting功能。
- 本安全公告不提供任何保证，使用者需自行承担后果。
❓
延伸问答
CVE-2025-25014漏洞的主要影响是什么？
该漏洞允许攻击者在受影响的Kibana系统上执行任意代码。
哪些Kibana版本受到CVE-2025-25014漏洞的影响？
受影响版本为8.3.0至8.17.5，以及Kibana 8.18.0和9.0.0。
如何防护CVE-2025-25014漏洞？
建议用户及时升级到不受影响的版本，或禁用Machine Learning和Reporting功能作为临时防护措施。
Kibana是什么？
Kibana是一个开源的分析与可视化平台，设计用于与Elasticsearch协作。
绿盟科技提供了哪些工具来检测CVE-2025-25014漏洞？
绿盟科技提供了外部攻击面管理服务（EASM）和自动化渗透测试工具（EZ）来支持漏洞检测。
如果无法立即升级Kibana，用户可以采取哪些临时措施？
用户可以在Kibana配置中禁用Machine Learning和Reporting功能。
➡️
