【漏洞通告】Elastic Kibana原型污染致任意代码执行漏洞（CVE-2025-25014）
💡
原文中文，约1700字，阅读约需4分钟。
📝
内容提要
绿盟科技CERT监测到Elastic Kibana存在原型污染漏洞（CVE-2025-25014），攻击者可利用该漏洞实现任意代码执行。受影响版本包括8.3.0至8.17.5及8.18.0、9.0.0。建议用户及时升级至8.17.6及以上版本，或禁用Machine Learning和Reporting功能以进行临时防护。
🎯
关键要点
- 绿盟科技CERT监测到Elastic Kibana存在原型污染漏洞（CVE-2025-25014），攻击者可利用该漏洞实现任意代码执行。
- 受影响版本包括8.3.0至8.17.5及8.18.0、9.0.0。
- 建议用户及时升级至8.17.6及以上版本，或禁用Machine Learning和Reporting功能以进行临时防护。
- CVSS评分为9.1，相关用户需尽快采取措施进行防护。
- 绿盟科技提供外部攻击面管理服务（EASM）和自动化渗透测试工具（EZ）以帮助用户进行漏洞排查和防护。
❓
延伸问答
Elastic Kibana的原型污染漏洞是什么？
Elastic Kibana的原型污染漏洞（CVE-2025-25014）允许攻击者通过特定的文件上传和HTTP请求绕过验证，从而在受影响系统上执行任意代码。
哪些版本的Kibana受到此漏洞影响？
受影响的Kibana版本包括8.3.0至8.17.5、8.18.0和9.0.0。
如何防护Elastic Kibana的原型污染漏洞？
用户应及时升级至8.17.6及以上版本，或禁用Machine Learning和Reporting功能以进行临时防护。
CVE-2025-25014的CVSS评分是多少？
CVE-2025-25014的CVSS评分为9.1，表示其风险等级较高。
绿盟科技提供哪些工具帮助用户排查此漏洞？
绿盟科技提供外部攻击面管理服务（EASM）和自动化渗透测试工具（EZ）来帮助用户进行漏洞排查和防护。
如果无法立即升级Kibana，临时防护措施有哪些？
用户可以在kibana.yml文件中禁用Machine Learning和Reporting功能作为临时防护措施。
➡️
