Kibana 安全性漏洞 (CVE-2025-25015) 解決方式

漏洞說明 (CVE-2025-25015)

Kibana 於 2025 年 3 月 6 日中發現了一個嚴重的安全漏洞。該漏洞被追蹤為 CVE-2025-25015，其根源在於 原型污染（Prototype Pollution）。攻擊者可以透過上傳特製文件並發送惡意 HTTP 請求來利用 Kibana，最終實現 代碼執行。這意味著，攻擊者可能獲得未經授權的存取權限，執行命令、操控數據，甚至完全控制受影響的系統。CVSS風險評分達到9.9（滿分10分）鑑於此漏洞影響範圍較大，建議客戶盡快做好自查及防護。

漏洞 (CVE-2025-25015) 影響版本

此漏洞僅影響 Kibana 8.15.0 - 8.17.2 的版本早於 8.15.0 的 Kibana 不受此漏洞影響

如何修復 Kibana CVE-2025-25015？

版本升級

Elastic 已經於 8.17.3 版中修復該漏洞，建議用戶升級到此版本。因 Elasticsearch 與 Kibana 需保持相同版本，所以需同時將 Elasitcsearch 與 Kibana 同時升級至 8.17.3 及以上版本

關閉出現漏洞功能 (Integration Assistant)

漏洞 (CVE-2025-25015) 出現在 Kibana 的 Integration Assistant 中。因此如無法將 Elasticsearch 與 Kibana 升級，則需將該功能關閉

具體操作方法為，在 kibana.yml 中添加下列內容

xpack.integration_assistant.enabled: false