Elastic Kibana原型污染致任意代码执行漏洞安全风险通告

01 漏洞详情

影响组件

Kibana 是一款开源的数据可视化和分析平台，主要用于与 Elasticsearch 集成，帮助用户通过直观的界面和丰富的可视化工具快速分析和探索数据，广泛应用于日志分析、实时监控和数据洞察等领域。

漏洞描述

近日，奇安信CERT监测到官方修复Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)，该漏洞源于 Kibana 中机器学习和报告端点的原型污染问题，攻击者可以通过精心构造的文件上传和特定的 HTTP 请求绕过验证机制，攻击者利用该漏洞后，可以在受影响的系统上执行任意代码，可能导致数据泄露、系统被完全控制等严重后果。鉴于此漏洞影响范围较大，建议客户尽快做好自查及防护。

02 影响范围

影响版本

8.3.0 <= Kibana <= 8.17.5

Kibana = 8.18.0

Kibana = 9.0.0

其他受影响组件

无

03 受影响资产情况

奇安信鹰图资产测绘平台数据显示，Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)关联的国内风险资产总数为69619个，关联IP总数为13216个。国内风险资产分布情况如下：

Elastic Kibana 原型污染致任意代码执行漏洞(CVE-2025-25014)关联的全球风险资产总数为139829个，关联IP总数为33314个。全球风险资产分布情况如下：

04 处置建议

安全更新

目前官方已有可更新版本，建议受影响用户升级至最新版本:

Kibana >= 8.17.6

Kibana >= 8.18.1

Kibana >= 9.0.1

下载链接

https://github.com/elastic/kibana/releases

修复缓解措施：

kibana.yml中禁用机器学习和报告端点功能：

xpack.ml.enabled: false

xpack.ml.ad.enabled: false

xpack.reporting.enabled: false

05 参考资料

[1]https://discuss.elastic.co/t/kibana-8-17-6-8-18-1-or-9-0-1-security-update-esa-2025-07/377868

[2]https://securityonline.info/cve-2025-25014-cvss-9-1-prototype-pollution-in-kibana-opens-door-to-code-execution/

声明：本文来自奇安信 CERT，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。