Kibana 安全性漏洞 (CVE-2025-25015) 解決方式
漏洞說明 (CVE-2025-25015)
Kibana 於 2025 年 3 月 6 日中發現了一個嚴重的安全漏洞。該漏洞被追蹤為 CVE-2025-25015,其根源在於 原型污染(Prototype Pollution)。攻擊者可以透過上傳特製文件並發送惡意 HTTP 請求來利用 Kibana,最終實現 代碼執行。這意味著,攻擊者可能獲得未經授權的存取權限,執行命令、操控數據,甚至完全控制受影響的系統。CVSS風險評分達到9.9(滿分10分)鑑於此漏洞影響範圍較大,建議客戶盡快做好自查及防護。
漏洞 (CVE-2025-25015) 影響版本
此漏洞僅影響 Kibana 8.15.0 - 8.17.2 的版本早於 8.15.0 的 Kibana 不受此漏洞影響
如何修復 Kibana CVE-2025-25015?
版本升級
Elastic 已經於 8.17.3 版中修復該漏洞,建議用戶升級到此版本。因 Elasticsearch 與 Kibana 需保持相同版本,所以需同時將 Elasitcsearch 與 Kibana 同時升級至 8.17.3 及以上版本
關閉出現漏洞功能 (Integration Assistant)
漏洞 (CVE-2025-25015) 出現在 Kibana 的 Integration Assistant 中。因此如無法將 Elasticsearch 與 Kibana 升級,則需將該功能關閉
具體操作方法為,在 kibana.yml 中添加下列內容
xpack.integration_assistant.enabled: false