Kibana代码执行误差清静通告

宣布时间 2019-10-18

误差编号和级别


CVE编号：暂无， ，，，，，，危险级别：高危， ，，，，，，CVSS分值：厂商自评：官方未评定


影响版本


Kibana < 6.6.0


误差概述


Kibana 是为 Elasticsearch设计的开源剖析和可视化平台。。。。。。。用户可以使用 Kibana 来搜索、审查存储在 Elasticsearch 索引中的数据并与之交互， ，，，，，，并且可以很容易实现高级的数据剖析和可视化， ，，，，，，以图标的形式展现出来。。。。。。。用户可以在大宗数据之上建设条形图， ，，，，，，折线图和散点图， ，，，，，，或饼图和地图。。。。。。。


Kibana还提供了一个称为Canvas的演示工具， ，，，，，，用户可以使用该工具来建设幻灯片平台， ，，，，，，并且直接从Elasticsearch中获取实时数据。。。。。。。并且Elasticsearch， ，，，，，，Logstash和Kibana的组合可以作为数据效劳产品。。。。。。。Logstash向Elasticsearch提供输入流以举行存储和搜索， ，，，，，，而Kibana则会见数据以举行可视化。。。。。。。


Kibana保存代码执行误差， ，，，，，，该误差保存于Kibana节点的情形变量中， ，，，，，，攻击者能够通过污染的节点情形变量来结构远程代码执行攻击， ，，，，，，然后通过进一步的渗透攻击， ，，，，，，从而实现完全远程接受整个效劳器的目的， ，，，，，，该误差使用方法较为简朴， ，，，，，，危害性较大。。。。。。。


通过网络空间搜索引擎可以得知， ，，，，，，在全球规模内， ，，，，，，对互联网开放的Kibana网站有近8万个。。。。。。。



误差验证



暂无POC/EXP。。。。。。。


修复建议


现在官方暂未举行清静更新， ，，，，，，使用该系统的用户可时刻关注官方网站获取最新的清静更新， ，，，，，，官方网站地点为：https://elasticsearch.cn/。。。。。。。


参考链接


https://elasticsearch.cn/